La traduction en anglais a été réalisée par Hugh Reeves et Corinne Gilgen (toutes deux de Walder Wyss). Elle peut être soumise à une Licence CC BY-ND 4.0 peuvent être utilisés. Une version en PDF se trouve ici.
Chapitre 1 : Objet, champ d’application et autorité de surveillance de la Confédération
Art. 1 Objet
Cette loi vise à protéger les droits de la personnalité et les droits fondamentaux des personnes physiques dont les données à caractère personnel sont traitées.
Art. 2 Portée personnelle et matérielle
1 La présente loi s’applique au traitement de données à caractère personnel relatives à des personnes physiques par :
a. les particuliers ;
b. les organes fédéraux.
2 It does not apply to :
a. les données à caractère personnel qui sont traitées par une personne physique exclusivement pour un usage personnel ;
b. les données à caractère personnel traitées par les Chambres fédérales et les commissions parlementaires dans le cadre de leurs délibérations ;
c. les données à caractère personnel traitées par les bénéficiaires institutionnels visés à l’article 2, paragraphe 1, de la loi du 22 juin 2007 sur l’État hôte, qui jouissent de l’immunité en Suisse.
3 Le traitement des données à caractère personnel et les droits des personnes concernées dans les procédures judiciaires et les procédures régies par les règles de procédure fédérales sont régis par la législation procédurale applicable. La présente loi s’applique aux procédures administratives de première instance.
4 Les registres publics relatifs aux relations de droit privé, en particulier l’accès à ces registres et les droits des personnes concernées, sont régis par les dispositions spéciales de la loi fédérale applicable. Si les dispositions spéciales ne contiennent pas de règles, la présente loi s’applique.
Art. 3 Champ d’application territorial
1 Le présent Acte s’applique aux faits qui ont un effet en Suisse, même s’ils se sont produits à l’étranger.
2 La loi fédérale du 18 décembre 1987 sur le droit international privé s’applique aux prétentions fondées sur le droit civil. Les dispositions relatives à la portée territoriale du Code pénal suisse demeurent réservées.
Art. 4 Commissaire fédéral à la protection des données et à l’information
1 Le commissaire fédéral à la protection des données et à l’information (FDPIC) supervise la bonne application des réglementations fédérales en matière de protection des données.
2 Les éléments suivants sont exclus de la supervision du FDPIC :
a. l’Assemblée fédérale ;
b. le Conseil fédéral ;
c. les tribunaux fédéraux ;
d. le Bureau du Procureur général de la Confédération en ce qui concerne le traitement des données à caractère personnel dans le cadre de procédures pénales ;
e. les autorités fédérales en ce qui concerne le traitement de données à caractère personnel dans le cadre d’une activité juridictionnelle ou de procédures internationales d’assistance mutuelle en matière pénale.
Chapitre 2 : Dispositions générales
Section 1 Définitions et principes
Art. 5 Définitions
Les définitions suivantes s’appliquent dans le présent acte :
a. données personnelles: toute information relative à une personne physique identifiée ou identifiable ;
b. sujet des données: personne physique dont les données personnelles sont traitées ;
c. données personnelles sensibles:
1. données relatives aux opinions ou activités religieuses, idéologiques, politiques ou syndicales,
2. les données relatives à la santé, à la sphère intime ou à l’origine raciale ou ethnique,
3. données génétiques,
4. les données biométriques qui identifient de manière non équivoque une personne physique,
5. les données relatives aux procédures et sanctions administratives ou pénales,
6. données sur les mesures de sécurité sociale ;
d. processingtoute opération portant sur des données à caractère personnel, quels que soient les moyens et les procédures utilisés, et notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, la divulgation ou la destruction de données ;
e. disclosureTransmettre ou rendre accessibles des données personnelles ;
f. profilagetoute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prévoir des aspects relatifs aux performances au travail, à la situation économique, à la santé, aux préférences personnelles, aux intérêts, à la fiabilité, au comportement, à la localisation ou aux lieux de cette personne physique ;
g. Profilage à haut risquele profilage qui implique un risque élevé pour la personnalité ou les droits fondamentaux du sujet des données, car il crée un appariement entre des données qui permet d’évaluer des aspects essentiels de la personnalité d’une personne physique ;
h. violation de la sécurité des données: une brèche de sécurité entraînant la perte, la suppression, la destruction ou la modification involontaires ou illégales de données personnelles ou la divulgation de données personnelles à des personnes non autorisées ou leur mise à disposition de celles-ci ;
i. corps fédéralfederal authority or service or person that is charged with federal public tasks ;
j. contrôleur: personne privée ou organisme fédéral qui, seul ou conjointement avec d’autres, décide des finalités et des moyens du traitement ;
k. processeur: personne privée ou organisme fédéral qui traite des données à caractère personnel pour le compte du responsable du traitement.
Art. 6 Principes
1 Les données à caractère personnel doivent être traitées dans le respect de la loi.
2 Le traitement doit être effectué de bonne foi et doit être proportionné.
3 Les données à caractère personnel ne peuvent être collectées que dans un but précis, évident pour le sujet des données ; les données à caractère personnel ne peuvent être traitées que d’une manière compatible avec ce but.
4 Elles sont détruites ou rendues anonymes dès qu’elles ne sont plus nécessaires au regard de la finalité du traitement.
5 Toute personne qui traite des données à caractère personnel doit s’assurer de l’exactitude de ces données. Il doit prendre toutes les mesures appropriées pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles ont été collectées ou traitées soient rectifiées, effacées ou détruites. L’adéquation des mesures dépend en particulier de la nature et de l’étendue du traitement des données et des risques que le traitement comporte pour la personnalité et les droits fondamentaux des personnes concernées.
6 Si le consentement du sujet des données est requis, ce consentement n’est valable que s’il a été donné librement et pour une ou plusieurs activités de traitement spécifiques et après une information adéquate.
7 Le consentement doit être donné explicitement pour :
a. le traitement de données à caractère personnel sensibles ;
b. profilage à haut risque par une personne privée ; ou
c. le profilage par un organisme fédéral.
Art. 7 Protection des données par conception et par défaut
1 Le responsable du traitement doit mettre en place des mesures techniques et organisationnelles afin que le traitement des données soit conforme à la réglementation relative à la protection des données et, en particulier, aux principes énoncés à l’article 6. Il considère cette obligation dès la planification du traitement.
2 Les mesures techniques et organisationnelles doivent être appropriées, notamment au regard de l’état de l’art, du type et de l’étendue du traitement, ainsi que des risques que le traitement en question fait peser sur la personnalité et les droits fondamentaux des personnes concernées par les données.
3 Le responsable du traitement est en outre tenu de veiller, au moyen de paramètres prédéfinis appropriés, à ce que le traitement des données à caractère personnel soit limité au minimum requis par la finalité, sauf avis contraire du sujet des données.
Art. 8 Sécurité des données
1 Le responsable du traitement et le sous-traitant doivent assurer, par des mesures techniques et organisationnelles appropriées, la sécurité des données à caractère personnel en tenant compte du risque.
2 Les mesures doivent permettre d’éviter les violations de la sécurité des données.
3 Le Conseil fédéral doit édicter des dispositions relatives aux exigences minimales en matière de sécurité des données.
Art. 9 Traitement des données par les processeurs
1 Le traitement de données à caractère personnel peut être attribué par accord ou par la loi à un processeur si :
a. les données ne sont traitées que de manière autorisée pour le responsable du traitement lui-même ; et
b. aucune obligation légale ou contractuelle de confidentialité n’interdit l’attribution.
2 Le responsable du traitement doit notamment s’assurer que le processeur est en mesure de garantir la sécurité des données.
3 Le processeur ne peut confier le traitement à un tiers qu’avec l’autorisation préalable du responsable du traitement.
4 Il peut invoquer les mêmes justifications que le contrôleur.
Art. 10 Conseiller en matière de protection des données
1 Les contrôleurs privés peuvent désigner un conseiller en matière de protection des données.
2 Le conseiller à la protection des données est le point de contact pour les personnes concernées et pour les autorités compétentes en matière de protection des données en Suisse. En particulier, il ou elle a les tâches suivantes :
a. de former et de conseiller le contrôleur privé en matière de protection des données ;
b. la participation à l’application de la réglementation en matière de protection des données.
3 Les contrôleurs privés peuvent invoquer l’exception prévue à l’article 23, paragraphe 4, si les conditions suivantes sont remplies :
a. le conseiller à la protection des données exerce sa fonction vis-à-vis du contrôleur de manière professionnellement indépendante et sans être lié par des instructions ;
b. il n’exerce pas d’activités incompatibles avec ses fonctions de conseiller à la protection des données ;
c. il possède les connaissances professionnelles nécessaires ;
d. le contrôleur publie les coordonnées du conseiller à la protection des données et les communique au FDPIC.
4 Le Conseil fédéral réglemente la nomination de conseillers en matière de protection des données par les organes fédéraux.
Art. 11 Codes de conduite
1 Les associations professionnelles, les associations industrielles et les associations commerciales dont les statuts les habilitent à défendre les intérêts économiques de leurs membres, ainsi que les organismes fédéraux, peuvent soumettre des codes de conduite à la FDPIC.
2 Le FDPIC donne son avis sur les codes de conduite et publie son opinion.
Art. 12 Inventaire des activités de traitement
1 Les contrôleurs et les processeurs tiennent chacun un inventaire de leurs activités de traitement.
2 L’inventaire du contrôleur contient au moins les informations suivantes :
a. l’identité du contrôleur ;
b. la finalité du traitement ;
c. une description des catégories de sujets de données et des catégories de données à caractère personnel traitées ;
d. les catégories de bénéficiaires ;
e. si possible, la période de conservation des données à caractère personnel ou les critères permettant de déterminer la période de conservation ;
f. si possible, une description générale des mesures prises pour garantir la sécurité des données conformément à l’article 8 ;
g. en cas de divulgation de données à l’étranger, le nom de l’État en question et les garanties prévues à l’article 16, paragraphe 2.
3 L’inventaire du processeur contient des informations sur l’identité du processeur et du responsable du traitement, les catégories d’activités de traitement effectuées pour le compte du responsable du traitement ainsi que les informations prévues au paragraphe 2, points f) et g).
4 Les organes fédéraux notifient leurs inventaires au FDPIC.
5 Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 personnes et dont le traitement ne comporte qu’un faible risque d’atteinte à la personnalité des personnes concernées.
Art. 13 Certification
1 Les fournisseurs de systèmes ou de logiciels de traitement des données ainsi que les contrôleurs et les processeurs peuvent soumettre leurs systèmes, leurs produits et leurs services à l’évaluation d’organismes de certification reconnus et indépendants.
2 Le Conseil fédéral édicte des règles relatives à la reconnaissance des procédures de certification et à l’introduction d’un label de qualité en matière de protection des données. Pour ce faire, il doit tenir compte du droit international et des normes techniques reconnues au niveau international.
Section 2 Traitement des données par des contrôleurs privés ayant leur bureau enregistré ou leur résidence à l’étranger
Art. 14 Représentant
1 Les contrôleurs privés ayant leur domicile ou leur résidence à l’étranger désignent un représentant en Suisse s’ils traitent les données personnelles de personnes en Suisse et si le traitement des données répond aux exigences suivantes :
a. Le traitement des données est lié à l’offre de biens ou de services en Suisse ou à la surveillance du comportement de ces personnes.
b. Le traitement est extensif.
c. Il s’agit d’un traitement régulier.
d. Le traitement implique un risque élevé pour la personnalité des personnes concernées par les données.
2 Le représentant sert de point de contact pour les personnes concernées par les données et le FDPIC.
3 Le contrôleur publie le nom et l’adresse du représentant.
Art. 15 Attributions du représentant
1 Le bureau de représentation tient un registre des activités de traitement du responsable du traitement, qui contient les informations visées à l’article 12, paragraphe 2.
2 Sur demande, il doit fournir au FDPIC les informations contenues dans le registre.
3 Sur demande, il doit fournir au sujet des données des informations sur la manière d’exercer ses droits.
Section 3 Divulgation transfrontalière des données personnelles
Art. 16 Principes
1 Les données personnelles peuvent être divulguées à l’étranger si le Conseil fédéral a déterminé que la législation de l’État ou de l’organisme international concerné garantit un niveau de protection adéquat.
2 En l’absence d’une telle décision du Conseil fédéral visée au paragraphe 1, les données à caractère personnel ne peuvent être divulguées à l’étranger que si une protection appropriée est assurée par :
a. un traité international ;
b. les dispositions relatives à la protection des données d’un contrat conclu entre le contrôleur ou le processeur et son partenaire contractuel, qui ont été communiquées au préalable à la FDPIC ;
c. des garanties spécifiques préparées par l’organe fédéral compétent et communiquées au préalable au CLIP ;
d. les clauses standard de protection des données précédemment approuvées, établies ou reconnues par le FDPIC ;
e. des règles d’entreprise contraignantes en matière de protection des données qui ont été préalablement approuvées par le FDPIC, ou par une autorité étrangère responsable de la protection des données et appartenant à un État qui garantit une protection adéquate.
3 Le Conseil fédéral peut prévoir d’autres garanties appropriées au sens du paragraphe 2.
Art. 17 Exceptions
1 Par dérogation à l’article 16, paragraphes 1 et 2, les données à caractère personnel peuvent être divulguées à l’étranger si :
a. Le sujet des données a explicitement consenti à la divulgation ;
b. La divulgation est directement liée à la conclusion ou à l’exécution d’un contrat :
1. entre le contrôleur et le sujet des données, ou
2. entre le contrôleur et son partenaire contractuel dans l’intérêt du sujet des données ;
c. La divulgation est nécessaire :
1. afin de sauvegarder un intérêt public prépondérant, ou
2. pour l’établissement, l’exercice ou l’exécution de droits légaux devant un tribunal ou une autre autorité étrangère compétente ;
d. La divulgation est nécessaire pour protéger la vie ou l’intégrité physique du sujet des données ou d’un tiers et il n’est pas possible d’obtenir le consentement du sujet des données dans un délai raisonnable ;
e. Le sujet des données a rendu les données généralement accessibles et n’a pas expressément interdit leur traitement ;
f. Les données proviennent d’un registre prévu par la loi et accessible au public ou aux personnes ayant un intérêt légitime, pour autant que les conditions légales de la consultation soient remplies dans le cas spécifique.
2 Le responsable du traitement ou le processeur informe, sur demande, le FDPIC des divulgations de données à caractère personnel visées au paragraphe 1, points b), nº 2, c) et d).
Art. 18 Publication de données à caractère personnel au format électronique
Si des données à caractère personnel sont rendues généralement accessibles au moyen d’informations et de services de communication automatisés dans le but de fournir des informations au grand public, il n’y a pas lieu de considérer qu’il s’agit d’une divulgation transfrontière, même si les données sont accessibles depuis l’étranger.
Chapitre 3 : Responsabilités du contrôleur et du processeur
Art. 19 Obligation d’information lors de la collecte de données à caractère personnel
1 Le responsable du traitement informe le sujet des données de manière appropriée de la collecte de données à caractère personnel ; ce devoir d’information s’applique également lorsque les données ne sont pas collectées auprès du sujet des données.
2 Au moment de la collecte, le contrôleur doit fournir au sujet des données toutes les informations nécessaires pour permettre au sujet des données d’exercer ses droits conformément à la présente loi et pour assurer la transparence du traitement des données, en particulier :
a. l’identité et les coordonnées du contrôleur ;
b. la finalité du traitement ;
c. le cas échéant, les destinataires ou les catégories de destinataires auxquels les données à caractère personnel sont communiquées.
3 Si les données ne sont pas collectées auprès du sujet des données, il informe en outre le sujet des catégories de données à caractère personnel qui sont traitées.
4 Si des données à caractère personnel sont divulguées à l’étranger, le responsable du traitement informe également la personne concernée du nom de l’État ou de l’instance internationale et, le cas échéant, des garanties prévues à l’article 16, paragraphe 2, ou de l’applicabilité de l’une des exceptions prévues à l’article 17.
5 Si les données ne sont pas collectées auprès du sujet des données, il fournit au sujet des données les informations mentionnées aux paragraphes 2 à 4 au plus tard un mois après avoir reçu les données à caractère personnel. Si le responsable du traitement divulgue les données à caractère personnel avant cette date, il en informe le sujet des données au moment de la divulgation, au plus tard.
Art. 20 Exceptions à l’obligation d’information et restrictions
1 L’obligation d’information prévue à l’article 19 cesse de s’appliquer si l’une des conditions suivantes est remplie :
a. Le sujet des données dispose déjà des informations correspondantes.
b. Le traitement est prévu par la loi.
c. Le contrôleur est une personne privée et est lié par une obligation légale de confidentialité.
d. Les exigences de l’article 27 sont remplies.
2 Si les données à caractère personnel ne sont pas collectées auprès du sujet des données, l’obligation d’information ne s’applique pas non plus si l’une des conditions suivantes est remplie :
a. il n’est pas possible de fournir les informations ; ou
b. elle requiert des efforts disproportionnés.
3 Le responsable du traitement peut restreindre, différer ou refuser de fournir des informations dans les cas suivants :
a. cela est nécessaire pour protéger les intérêts prépondérants de tiers ;
b. l’information empêche le traitement de remplir son objectif ;
c. lorsque le contrôleur est une personne privée et que les conditions suivantes sont remplies :
1. la mesure est requise par les intérêts prépondérants du contrôleur.
2. le responsable du traitement ne divulgue pas les données à caractère personnel à des tiers.
d. lorsque le contrôleur est une autorité fédérale et que l’une des conditions suivantes est remplie :
1. un intérêt public prépondérant, en particulier la sécurité intérieure ou extérieure de la Suisse, l’exige, ou
2. la fourniture de l’information est susceptible de compromettre une enquête, une investigation ou une procédure administrative ou judiciaire.
4 La condition énoncée au paragraphe 3, point c), numéro 2, est réputée remplie si la divulgation de données à caractère personnel a lieu entre des sociétés contrôlées par la même entité juridique.
Art. 21 Obligation d’information dans le cas d’une décision individuelle automatisée
1 Le responsable du traitement informe le sujet des données d’une décision qui est prise exclusivement sur la base d’un traitement automatisé et qui a des effets juridiques sur le sujet des données ou qui l’affecte de manière significative (décision individuelle automatisée).
2 Il doit donner au sujet des données, à sa demande, la possibilité de faire connaître sa position. Le sujet des données peut demander que la décision soit réexaminée par une personne physique.
3 Les paragraphes 1 et 2 ne s’appliquent pas si :
a. la décision est directement liée à la conclusion ou à l’exécution d’un contrat entre le responsable du traitement et le sujet des données et la demande de ce dernier est satisfaite, ou que
b. le sujet des données a explicitement consenti à ce que la décision soit prise de manière automatisée.
4 Si la décision individuelle automatisée émane d’une autorité fédérale, cette dernière doit la désigner comme telle. Le paragraphe 2 ne s’applique pas si la personne concernée n’a pas besoin d’être consultée avant que la décision ne soit prise conformément à l’article 30, paragraphe 2, de la loi sur la procédure administrative du 20 décembre 1968 (APA) ou à une autre loi fédérale.
Art. 22 Évaluation de l’impact sur la protection des données
1 Si le traitement de données envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, le responsable du traitement doit procéder au préalable à une évaluation de l’impact sur la protection des données. Si le responsable du traitement considère qu’il effectue plusieurs opérations de traitement similaires, il peut établir une analyse d’impact conjointe.
2 L’existence d’un risque élevé, en particulier lorsque de nouvelles technologies sont utilisées, dépend de la nature, de l’étendue, des circonstances et des finalités du traitement. Un tel risque existe en particulier dans les cas suivants :
a. le traitement de données à caractère personnel sensibles à grande échelle ;
b. surveillance systématique de vastes zones publiques.
3 L’évaluation de l’impact sur la protection des données contient une description du traitement envisagé, une évaluation des risques au regard de la personnalité ou des droits fondamentaux du sujet des données, ainsi que les mesures envisagées pour protéger la personnalité ou les droits fondamentaux du sujet des données.
4 Les contrôleurs privés sont dispensés de l’obligation d’établir une évaluation de l’impact sur la protection des données s’ils sont légalement tenus d’effectuer le traitement.
5 Le responsable du traitement privé peut s’abstenir d’établir une évaluation de l’impact sur la protection des données s’il utilise un système, un produit ou un service certifié pour l’usage prévu conformément à l’article 13 ou s’il respecte un code de conduite conforme à l’article 11 et répondant aux exigences suivantes :
a. le code de conduite est basé sur une évaluation de l’impact sur la protection des données ;
b. il prévoit des mesures de protection des droits de la personnalité ou des droits fondamentaux du sujet des données ;
c. elle a été soumise au FDPIC.
Art. 23 Consultation du FDPIC
1 Le responsable du traitement consulte le FDPIC avant le traitement lorsque l’évaluation de l’impact sur la protection des données révèle que le traitement présente un risque élevé pour la personnalité ou les droits fondamentaux du sujet des données, compte tenu des mesures envisagées par le responsable du traitement.
2 Le FDPIC informe le contrôleur de ses objections au traitement envisagé dans un délai de deux mois. Ce délai peut être prolongé d’un mois en cas de traitement complexe de données.
3 Si le FDPIC a des objections contre le traitement envisagé, il suggère des mesures appropriées au responsable du traitement.
4 Le contrôleur privé peut s’abstenir de consulter le FDPIC s’il a consulté le conseiller à la protection des données conformément à l’article 10.
Art. 24 Notification des violations de la sécurité des données
1 Le responsable du traitement doit notifier au FDPIC, dès que possible, tout incident de sécurité des données susceptible d’entraîner un risque élevé pour les droits de la personnalité ou les droits fondamentaux du sujet des données.
2 Dans la notification, il doit au moins indiquer la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées.
3 Le processeur doit notifier au contrôleur, dès que possible, toute violation de la sécurité des données.
4 Le responsable du traitement doit également informer le sujet des données si cela est nécessaire pour la protection du sujet des données ou si le FDPIC en fait la demande.
5 Il peut limiter les informations au sujet des données, les différer ou s’abstenir de les fournir si :
a. il existe des raisons fondées sur l’article 26, paragraphe 1, point b) ou 2, point b), ou une obligation légale de secret l’interdit ;
b. l’information est impossible ou requiert des efforts disproportionnés ; ou
c. l’information du sujet des données est assurée de manière équivalente par une annonce publique.
6 Une notification fondée sur le présent article ne peut être utilisée dans le cadre d’une procédure pénale à l’encontre de la personne visée par la notification qu’avec le consentement de cette personne.
Chapitre 4 : Droits du sujet des données
Art. 25 Droit d’accès
1 Toute personne peut demander au responsable du traitement des informations sur l’existence d’un traitement de données à caractère personnel la concernant.
2 Le sujet des données reçoit les informations nécessaires pour lui permettre d’exercer ses droits en vertu de la présente loi et pour garantir la transparence du traitement des données. Dans tous les cas, les informations suivantes sont fournies au sujet des données :
a. l’identité et les coordonnées du contrôleur ;
b. les données à caractère personnel qui sont traitées en tant que telles ;
c. la finalité du traitement ;
d. la période de conservation des données à caractère personnel ou, si cela n’est pas possible, les critères utilisés pour déterminer cette période ;
e. les informations disponibles sur l’origine des données personnelles, dans la mesure où elles n’ont pas été collectées auprès du sujet des données ;
f. le cas échéant, l’existence d’une décision individuelle automatisée ainsi que la logique sur laquelle cette décision est fondée ;
g. le cas échéant, les destinataires ou les catégories de destinataires auxquels les données à caractère personnel ont été communiquées ainsi que les informations prévues à l’article 19, paragraphe 4.
3 Les données personnelles relatives à la santé du sujet des données peuvent être communiquées au sujet des données, sous réserve de son consentement, par un professionnel de la santé désigné par lui.
4 Si le responsable du traitement dispose de données à caractère personnel traitées par un processeur, le responsable du traitement reste soumis à l’obligation de fournir des informations.
5 Nul ne peut se soustraire au droit d’être informé à l’avance.
6 Le contrôleur fournit les informations demandées gratuitement. Le Conseil fédéral peut prévoir des exceptions lorsque l’information n’est pas fournie gratuitement, en particulier si l’effort requis est disproportionné.
7 En règle générale, les informations doivent être fournies dans un délai de 30 jours.
Art. 26 Limitations du droit d’accès
1 Le responsable du traitement peut refuser, restreindre ou refuser de fournir des informations si :
a. une loi formelle le prévoit, en particulier pour protéger un secret professionnel ;
b. si elle est requise par les intérêts prépondérants de tiers ; ou
c. la demande d’informations est manifestement infondée, en particulier si elle poursuit un but contraire à la protection des données ou si elle est manifestement de nature frivole.
2 En outre, il est possible de refuser, de restreindre ou de différer la fourniture d’informations dans les cas suivants :
a. lorsque le contrôleur est une personne privée et que les conditions suivantes sont remplies :
1. si les intérêts supérieurs du contrôleur exigent la mesure.
2. le responsable du traitement ne divulgue pas les données à caractère personnel à un tiers.
b. lorsque le contrôleur est une autorité fédérale et que l’une des conditions suivantes est remplie :
1. la mesure est nécessaire pour un intérêt public prépondérant, en particulier la sécurité intérieure ou extérieure de la Suisse, ou
2. la fourniture d’informations est susceptible de compromettre une enquête, une investigation ou une procédure administrative ou judiciaire.
3 L’exigence énoncée au paragraphe 2, point a), numéro 2, est réputée satisfaite si la divulgation de données à caractère personnel a lieu entre des sociétés contrôlées par la même entité juridique.
4 Le responsable du traitement doit indiquer les raisons pour lesquelles il refuse, restreint ou refuse de fournir les informations.
Art. 27 Limites au droit d’accès des médias
1 Lorsque des données à caractère personnel sont utilisées exclusivement pour la publication dans la section éditée d’un média publié périodiquement, le contrôleur peut refuser, restreindre ou différer la fourniture d’informations pour l’un des motifs suivants :
a. les données révèlent des informations sur les sources de l’information ;
b. l’accès aux brouillons de publications s’ensuivrait ;
c. la publication porterait atteinte à la libre formation de l’opinion publique.
2 Les journalistes peuvent également refuser, restreindre ou différer la fourniture d’informations s’ils utilisent les données personnelles exclusivement comme leur instrument de travail personnel.
Art. 28 Droit à la portabilité des données
1 Toute personne peut demander au responsable du traitement de lui communiquer, gratuitement, les données à caractère personnel qu’elle lui a fournies dans un format électronique standard si :
a. le responsable du traitement traite les données de manière automatisée ; et
b. les données sont traitées avec le consentement du sujet des données ou en relation directe avec la conclusion ou l’exécution d’un contrat entre le responsable du traitement et le sujet des données.
2 En outre, le sujet des données peut demander au responsable du traitement de transférer ses données à caractère personnel à un autre responsable du traitement si les exigences visées au paragraphe 1 sont satisfaites et si cela n’implique pas un effort disproportionné.
3 Le Conseil fédéral peut prévoir des exceptions à cette liberté de charge, en particulier si l’effort impliqué est disproportionné.
Art. 29 Restrictions sur le droit d’émission et de transmission de données
1 Le responsable du traitement peut refuser, restreindre ou différer la communication et le transfert de données à caractère personnel pour les motifs énoncés à l’article 26, paragraphes 1 et 2.
2 Le contrôleur doit donner des raisons de refuser, de restreindre ou de reporter la libération ou le transfert.
Chapitre 5 : Dispositions spéciales relatives au traitement des données par des personnes privées
Art. 30 Violation de la personnalité
1 Toute personne qui traite des données à caractère personnel ne doit pas violer illégalement la personnalité des personnes concernées par les données.
2 Un préjudice de personnalité existe en particulier si :
a. les données à caractère personnel sont traitées en contradiction avec les principes énoncés aux articles 6 et 8 ;
b. les données à caractère personnel sont traitées contre la déclaration expresse d’intention du sujet des données ;
c. des données à caractère personnel sensibles sont divulguées à des tiers.
3 En général, il n’y a pas de violation de la vie privée si le sujet des données a rendu les données personnelles généralement accessibles et n’a pas expressément interdit leur traitement.
Art. 31 Justifications
1 Une violation de la personnalité est illicite sauf si elle est justifiée par le consentement du sujet des données, par un intérêt privé ou public prépondérant ou par la loi.
2 L’intérêt supérieur du responsable du traitement peut être considéré, en particulier, dans les cas suivants :
a. Le responsable du traitement traite les données à caractère personnel de la partie contractante en relation directe avec la conclusion ou l’exécution d’un contrat.
b. Le responsable du traitement est ou sera en concurrence commerciale avec une autre personne et traite à cette fin des données à caractère personnel qui ne sont pas divulguées à des tiers, sauf en cas de divulgation entre des sociétés contrôlées par la même entité juridique.
c. Le responsable du traitement traite les données à caractère personnel afin de vérifier la solvabilité du sujet des données, à condition que les exigences suivantes soient remplies :
1. le traitement n’implique pas de données personnelles sensibles ni de profilage à haut risque.
2. les données ne sont communiquées à des tiers que si ces tiers en ont besoin pour la conclusion ou l’exécution d’un contrat avec le sujet des données.
3.les données ne datent pas de plus de dix ans.
4. le sujet des données est âgé.
d. Le responsable du traitement traite les données à caractère personnel sur une base professionnelle et exclusivement pour la publication dans la section éditée d’un média publié périodiquement ou les données servent au responsable du traitement exclusivement comme instrument de travail personnel, étant donné qu’aucune publication n’a lieu.
e. Le responsable du traitement traite les données à caractère personnel à des fins qui ne se rapportent pas à une personne en particulier, notamment à des fins de recherche, de planification et de statistiques, pour autant que les conditions suivantes soient remplies :
1) le responsable du traitement rend les données anonymes dès que les finalités du traitement le permettent ou prend des mesures raisonnables pour empêcher l’identification des personnes concernées si l’anonymisation est impossible ou nécessite des efforts disproportionnés
2. les données à caractère personnel sensibles sont communiquées à des tiers de telle manière que les personnes concernées ne puissent pas être identifiées. Si cela n’est pas possible, des mesures doivent être prises pour s’assurer que les tiers ne traitent les données qu’à des fins non personnelles.
3) les résultats sont publiés de telle manière que les sujets des données ne peuvent pas être identifiés.
f. Le responsable du traitement collecte des données à caractère personnel sur une personne d’intérêt public qui se rapporte aux activités publiques de cette personne.
Art. 32 Réclamations légales
1 Le sujet des données peut demander que des données à caractère personnel erronées soient rectifiées, sauf si
a. il existe une réglementation statutaire interdisant la correction ;
b. les données à caractère personnel sont traitées à des fins d’archivage dans l’intérêt public.
2 Les actions relatives à la protection des droits de la personnalité sont régies par les articles 28, 28a et 28g – 28l du Code civil. Le requérant peut en particulier demander que :
a. un traitement spécifique de données est interdit ;
b. la divulgation spécifique de données à caractère personnel à des tiers est interdite ;
c. les données à caractère personnel sont supprimées ou détruites.
3 Si ni l’exactitude ni l’inexactitude des données à caractère personnel ne peuvent être déterminées, le réclamant peut demander une note indiquant l’objection à ajouter aux données à caractère personnel.
4 En outre, le réclamant peut demander la correction, l’effacement ou la destruction, l’interdiction de traitement ou de divulgation à des tiers, la note indiquant l’objection ou le jugement sera communiquée à des tiers ou publiée.
Chapitre 6 : Dispositions spéciales relatives au traitement des données par les organismes fédéraux
Art. 33 Contrôle et responsabilité en cas de traitement conjoint de données à caractère personnel
Le Conseil fédéral règle les procédures de contrôle et la responsabilité en matière de protection des données lorsque l’organe fédéral traite des données personnelles conjointement avec d’autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées.
Art. 34 Base légale
1 Les organes fédéraux ne peuvent traiter des données à caractère personnel que s’il existe une base légale pour ce faire.
2 Une base légale doit être établie dans une loi formelle dans les cas suivants :
a. Les données traitées sont des données à caractère personnel sensibles.
b. Il s’agit d’une question de profilage.
c. La finalité du traitement ou le type et la méthode de traitement des données peuvent entraîner une grave interférence avec les droits fondamentaux du sujet des données.
3 Pour le traitement de données à caractère personnel visé au paragraphe 2, points a) et b), une base légale dans une loi substantielle est suffisante si les conditions suivantes sont remplies :
a. Le traitement est essentiel pour une tâche définie dans une loi formelle.
b. Le traitement ne comporte pas de risques particuliers affectant les droits fondamentaux du sujet des données.
4 Par dérogation aux paragraphes 1 à 3, les organes fédéraux peuvent traiter des données à caractère personnel si l’une des conditions suivantes est remplie :
a. Le Conseil fédéral a autorisé le traitement parce qu’il estime que les droits de la personne concernée ne sont pas menacés.
b. Le sujet des données a donné son consentement au traitement dans le cas spécifique ou a rendu ses données personnelles généralement accessibles et n’a pas expressément interdit le traitement.
c. Le traitement est nécessaire pour protéger la vie ou l’intégrité physique du sujet des données ou d’un tiers et il n’est pas possible d’obtenir le consentement du sujet des données dans un délai raisonnable.
Art. 35 Traitement automatisé des données dans le cadre de projets pilotes
1 Le Conseil fédéral peut, avant l’entrée en vigueur d’une loi formelle, autoriser le traitement automatisé de données à caractère personnel sensibles ou d’autres traitements de données en vertu de l’article 34, paragraphe 2, lettres b et c, si :
a. les tâches sur la base desquelles le traitement est requis sont régies par une loi formelle qui est déjà entrée en vigueur ;
b. des mesures appropriées sont prises pour limiter au minimum les interférences avec les droits fondamentaux du sujet des données ; et
c. pour la mise en œuvre pratique d’un traitement de données, une phase de test avant l’entrée en vigueur est indispensable, en particulier pour des raisons techniques.
2 Il obtient l’avis du CLDPIC à l’avance.
3 L’autorité fédérale compétente doit fournir au Conseil fédéral un rapport d’évaluation au plus tard deux ans après le lancement du projet pilote. Le rapport contient une proposition sur la poursuite ou l’arrêt du traitement.
4 Le traitement automatisé des données doit être interrompu en tout état de cause si, dans un délai de cinq ans à compter du lancement du projet pilote, aucune loi formelle contenant la base juridique requise n’est entrée en vigueur.
Art. 36 Divulgation des données personnelles
1 Les organes fédéraux ne peuvent divulguer des données à caractère personnel que si une base légale le prévoit, conformément à l’article 34, paragraphes 1 à 3.
2 Par dérogation au paragraphe 1, ils peuvent divulguer des données à caractère personnel dans un cas spécifique si l’une des conditions suivantes est remplie :
a. La divulgation des données est indispensable au responsable du traitement ou au destinataire pour l’accomplissement d’une tâche légale.
b. Le sujet des données a consenti à la divulgation.
c. La divulgation des données est nécessaire pour protéger la vie ou l’intégrité physique du sujet des données ou d’un tiers et il n’est pas possible d’obtenir le consentement du sujet des données dans un délai raisonnable.
d. Le sujet des données a rendu ses données généralement accessibles et n’a pas expressément interdit leur divulgation.
e. Le destinataire démontre de manière crédible que le sujet des données est réticent à donner son consentement ou qu’il s’oppose à sa divulgation afin d’empêcher l’exécution de prétentions légales ou la sauvegarde d’autres intérêts légitimes ; le sujet des données doit avoir la possibilité de réagir préalablement, à moins que cela ne soit impossible ou n’implique un effort disproportionné.
3 Elles peuvent également divulguer des données à caractère personnel dans le cadre d’informations officielles communiquées au grand public, soit d’office, soit en vertu de la loi sur la liberté de l’information du 17 décembre 2004 , si :
a. les données sont nécessaires à l’accomplissement d’un devoir public ; et
b. il y a un intérêt public prépondérant à sa divulgation.
4 Ils peuvent également, sur demande, divulguer le nom, le premier nom, l’adresse et la date de naissance d’une personne si les exigences du paragraphe 1 ou 2 ne sont pas satisfaites.
5 Elles peuvent rendre les données à caractère personnel généralement accessibles au moyen de services automatisés d’information et de communication si une base légale prévoit la publication de telles données ou si elles divulguent des données sur la base du paragraphe 3. S’il n’y a plus d’intérêt public à rendre de telles données généralement accessibles, les données concernées doivent être supprimées du service automatisé d’information et de communication.
6 Les organes fédéraux peuvent refuser ou restreindre la divulgation, ou la soumettre à des conditions, si :
a. des intérêts publics essentiels ou des intérêts qui garantissent manifestement la protection d’un sujet de données de cette manière ; ou
b. les obligations légales de confidentialité ou les réglementations spéciales en matière de protection des données l’exigent.
Art. 37 Objection à la divulgation de données à caractère personnel
1 Le sujet des données qui démontre de manière crédible un intérêt garantissant la protection peut s’opposer à la divulgation de certaines données personnelles par l’autorité fédérale compétente.
2 L’autorité fédérale peut refuser cette demande si l’une des conditions suivantes est remplie :
a. il existe une obligation légale de divulgation ;
b. l’accomplissement de sa mission serait autrement compromis.
3 L’article 36, paragraphe 3, est réservé.
Art. 38 Offre de documents aux Archives fédérales
1 Conformément à la loi sur l’archivage du 26 juin 1998 , les organes fédéraux doivent proposer aux Archives fédérales toutes les données personnelles dont les organes fédéraux n’ont plus constamment besoin.
2 L’autorité fédérale détruit les données à caractère personnel désignées par les Archives fédérales comme n’ayant pas de valeur archivistique sans :
a. elle est rendue anonyme ;
b. elle doit être conservée pour des raisons évidentes ou de sécurité ou pour sauvegarder les intérêts légitimes du sujet des données.
Art. 39 Traitement des données à des fins de recherche, de planification et de statistiques
1 Les organes fédéraux peuvent traiter des données à caractère personnel à des fins qui ne sont pas liées à des personnes spécifiques, en particulier à des fins de recherche, de planification et de statistiques, si :
a. les données sont rendues anonymes dès lors que le but du traitement le permet ;
b. l’autorité fédérale ne divulgue des données personnelles sensibles à des personnes privées que de telle manière que les sujets des données ne puissent pas être identifiés ;
c. le destinataire ne communique les données à des tiers qu’avec le consentement de l’autorité fédérale qui a divulgué les données ; et
d. les résultats ne sont publiés que de manière à ce que les sujets des données ne puissent pas être identifiés.
2 L’article 6, paragraphe 3, l’article 34, paragraphe 2, et l’article 36, paragraphe 1, ne sont pas applicables.
Art. 40 Activités juridiques privées des organes fédéraux
Si un organisme fédéral agit en vertu du droit privé, les dispositions relatives au traitement des données par des personnes privées s’appliquent.
Art. 41 Revendications et procédure
1 Toute personne dont l’intérêt justifie une protection peut demander à l’autorité fédérale compétente de :
a. s’abstenir de traiter illégalement les données à caractère personnel ;
b. éliminer les conséquences d’un traitement illicite ;
c. déterminer le caractère illicite du traitement.
2 Le requérant peut en particulier demander que l’autorité fédérale :
a. corriger, effacer ou détruire les données à caractère personnel concernées ;
b. publie ou communique sa décision à des tiers, en particulier sur la correction, la suppression ou la destruction, l’objection à la divulgation visée à l’article 37 ou la note indiquant l’objection visée au paragraphe 4.
3 Au lieu de supprimer ou de détruire les données à caractère personnel, l’autorité fédérale limite le traitement si
a. le sujet des données conteste l’exactitude des données à caractère personnel et s’il n’est pas possible de déterminer l’exactitude ou l’inexactitude de celles-ci ;
b. les intérêts prépondérants de tiers l’exigent ;
c. un intérêt public prépondérant, en particulier la sécurité intérieure ou extérieure de la Suisse, l’exige ;
d. la suppression ou la destruction des données peut compromettre une enquête, une investigation ou une procédure administrative ou judiciaire.
4 S’il n’est pas possible de déterminer l’exactitude ou l’inexactitude des données à caractère personnel, l’autorité fédérale appose sur les données une note indiquant l’objection.
5 La correction, l’effacement ou la destruction de données à caractère personnel ne peuvent être demandés en ce qui concerne l’inventaire des bibliothèques accessibles au public, des établissements d’enseignement, des musées, des archives ou d’autres institutions mémorielles publiques. Si le demandeur peut démontrer de manière crédible un intérêt supérieur, il peut demander à l’institution de restreindre l’accès aux données contestées. Les paragraphes 3 et 4 ne s’appliquent pas.
6 La procédure est régie par l’APP. Les exceptions prévues aux articles 2 et 3 de l’APP ne s’appliquent pas.
Art. 42 Procédure en cas de divulgation de documents officiels contenant des données à caractère personnel
Si des procédures relatives à l’accès à des documents officiels au sens de la loi sur la liberté de l’information du 17 décembre 2004 contenant des données à caractère personnel sont en cours, la personne concernée peut, dans le cadre de ces procédures, faire valoir les droits qui lui sont conférés par l’article 41 pour ceux des documents qui font l’objet des procédures d’accès.
Chapitre 7 : Commissaire fédéral à la protection des données et à l’information
Section 1 Organisation
Art. 43 Désignation et statut
1Le chef du FDPIC (le commissaire) est élu par l’Assemblée fédérale.
2 Toute personne ayant le droit de vote sur les questions fédérales est éligible.
3 La relation d’emploi du commissaire est régie par la loi fédérale sur le personnel du 24 mars 2000 (LPers), sauf dispositions contraires de cette loi. Le commissionnaire est assuré contre les conséquences économiques de la vieillesse, de l’invalidité et du décès auprès du Fonds fédéral de pension PUBLICA jusqu’à l’âge de 65 ans. Si la relation de travail se poursuit après l’âge de 65 ans, le régime de pension sera alors maintenu, à la demande du commissionnaire, jusqu’à la fin de la relation de travail mais au plus tard jusqu’à la fin de l’année au cours de laquelle il aura atteint l’âge de 68 ans. Le FDPIC couvre les cotisations d’épargne de l’employeur.
3bis L’Assemblée fédérale édicte par voie d’ordonnance les dispositions d’exécution relatives à la relation d’emploi du commissaire.
4 Le commissaire exerce ses fonctions de manière indépendante, sans solliciter ni accepter d’instructions de la part d’une autorité ou d’un tiers. Il est rattaché à la Chancellerie fédérale à des fins administratives.
5 Il dispose d’un secrétariat permanent et de son propre budget. Il engage son propre personnel.
6 Il n’est pas soumis au système d’évaluation prévu à l’article 4, paragraphe 3, de la LPers.
Art. 44 Terme de l’office, renouvellement et fin de l’office
1 Le mandat du commissaire est de quatre ans et peut être renouvelé deux fois. Il débute le 1er janvier qui suit le début de la période législative du Conseil national.
2 Le commissionnaire peut mettre fin à la relation de travail à la fin d’un mois avec un préavis de six mois. La Commission judiciaire peut accorder au commissionnaire une période de préavis plus courte dans un cas individuel, à condition qu’il n’y ait pas d’intérêts matériellement conflictuels.
3 Le commissaire peut demander à l’Assemblée fédérale d’être déchargé de ses fonctions à la fin de n’importe quel mois, moyennant un préavis de six mois.
4 L’Assemblée fédérale peut relever le commissaire de ses fonctions avant l’expiration de son mandat s’il :
a. enfreint gravement ses obligations officielles, que ce soit de manière délibérée ou par négligence grave ; ou
b. est dans l’impossibilité permanente d’exercer ses fonctions.
Art. 44a Avertissement
La Commission judiciaire peut émettre un avertissement si elle constate que le commissaire a violé des obligations officielles.
Art. 45 Budget
Le FDPIC soumet chaque année le projet de son budget au Conseil fédéral via la Chancellerie fédérale. Le Conseil fédéral le transmet sans changement à l’Assemblée fédérale.
Art. 46 Incompatibilité
Le commissaire ne peut pas être membre de l’Assemblée fédérale ou du Conseil fédéral et ne peut pas avoir de lien d’emploi avec la Confédération.
Art. 47 Emploi secondaire
1 Le commissaire ne doit pas exercer d’emploi secondaire
2 La Commission judiciaire peut autoriser le commissaire à exercer un emploi secondaire si cela ne porte pas atteinte à l’exercice de la fonction ou à l’indépendance et à la réputation du FDPIC. La décision est publiée.
Art. 47a Recours
Si le recours du commissaire est contesté, le président de la division de la Cour administrative fédérale chargée de la protection des données se prononcera sur la question.
Art. 48 Autorégulation du FDPIC
Par le biais de mesures de contrôle appropriées, en particulier en ce qui concerne la sécurité des données, le FDPIC doit s’assurer que l’application conforme à la loi des réglementations fédérales en matière de protection des données est garantie dans ses bureaux.
Section 2 Enquête sur les violations des règles de protection des données
Art. 49 Investigation
1 Le FDPIC lance, d’office ou sur notification, une enquête à l’encontre d’un organe fédéral ou d’une personne privée s’il existe des indices suffisants qu’un traitement de données pourrait violer les règles de protection des données.
2 Il peut s’abstenir d’ouvrir une enquête si le non-respect des règles de protection des données est d’une importance mineure.
3 L’autorité fédérale ou la personne privée fournira au FDPIC toutes les informations et mettra à sa disposition tous les documents nécessaires à l’enquête. Le droit de refuser de fournir des informations est régi par les articles 16 et 17 de l’APP, sauf si l’article 50, paragraphe 2, en dispose autrement.
4 Si le sujet des données a notifié le FDPIC, celui-ci informera le sujet des données des démarches entreprises en la matière sur la base de la notification du sujet des données et des résultats de l’enquête, le cas échéant.
Art. 50 Pouvoirs
1 Si l’organe fédéral ou la personne privée ne respecte pas son obligation de coopérer, le FDPIC peut, dans le cadre de l’enquête, ordonner ce qui suit :
a. d’accéder à toutes les informations, documents, registres des activités de traitement et données à caractère personnel nécessaires à l’enquête ;
b. l’accès aux locaux et aux installations,
c. le questionnement des témoins ;
d. Évaluations par des experts.
2 Le secret professionnel est réservé.
3 Il peut faire appel à une autre autorité fédérale ou à la police cantonale ou municipale pour faire appliquer les mesures prises en vertu du paragraphe 1.
Art. 51 Mesures administratives
1 Si les règles de protection des données sont violées, le FDPIC peut ordonner que le traitement soit entièrement ou partiellement ajusté, suspendu ou interrompu et que les données personnelles soient entièrement ou partiellement supprimées ou détruites.
2 Il peut refuser ou interdire la communication à l’étranger si elle viole les exigences des articles 13 ou 14 ou des dispositions spécifiques relatives à la communication de données à caractère personnel à l’étranger contenues dans d’autres lois fédérales.
3 Il peut en particulier ordonner que l’organe fédéral ou la personne privée :
a. informe le FDPIC conformément à l’article 16, paragraphe 2, points b) et c), et à l’article 17, paragraphe 2 ;
b. prendre les mesures prévues aux articles 7 et 8 ;
c. informe les personnes concernées par les données conformément aux articles 19 et 21
d. effectue une évaluation de l’impact sur la protection des données conformément à l’article 22 ;
e. consulte le FDPIC en vertu de l’article 23 ;
f. informe le FDPIC ou, le cas échéant, les personnes concernées par les données conformément à l’article 24 ; et
g. fournir au sujet des données les informations visées à l’article 25.
4 Il peut également ordonner que le contrôleur privé ayant son siège social ou son lieu de résidence à l’étranger désigne un représentant conformément à l’article 14.
5 Si, au cours de l’enquête, l’organe fédéral ou la personne privée a pris les mesures nécessaires pour rétablir la conformité avec les règles de protection des données, le FDPIC peut se limiter à émettre un avertissement.
Art. 52 Actes
1 Les procédures d’enquête et les décisions visées aux articles 44 et 45 sont régies par la LFPC.
2 Seule l’autorité fédérale ou la personne privée contre laquelle l’enquête a été ouverte peut être partie à la procédure.
3 Le FDPIC peut déposer un recours contre les décisions en appel rendues par la Cour administrative fédérale.
Art. 53 Coordination
1 Les autorités administratives fédérales qui supervisent des personnes privées ou des organisations extérieures à l’administration fédérale en vertu d’une autre loi fédérale invitent le FDPIC à faire une déclaration avant de prendre une décision relative à des questions de protection des données.
2 Si le FDPIC a lancé sa propre enquête contre la même partie, les deux autorités coordonneront leurs procédures.
Section 3 Assistance administrative
Art. 54 Assistance administrative entre les autorités suisses
1 Les autorités fédérales et cantonales fournissent au FDPIC les informations et les données personnelles nécessaires à l’accomplissement de ses obligations légales.
2 Le FDPIC communique aux autorités suivantes les informations et les données personnelles nécessaires à l’accomplissement de leurs obligations légales :
a. les autorités responsables de la protection des données en Suisse ;
b. les autorités compétentes en matière de poursuites pénales si une infraction visée à l’article 65, paragraphe 2, est signalée ;
c. les autorités fédérales ainsi que les polices cantonales et municipales pour l’application des mesures visées à l’article 50, paragraphe 2, et à l’article 51.
Art. 55 Assistance administrative aux autorités étrangères
1 Le FDPIC peut échanger des informations et des données personnelles avec des autorités étrangères responsables de la protection des données pour l’exécution de leurs obligations légales respectives dans le domaine de la protection des données si les exigences suivantes sont remplies :
a. La réciprocité de l’assistance administrative est assurée.
b. Les informations et les données à caractère personnel ne sont utilisées que dans le cadre de la procédure relative à la protection des données sur laquelle se fonde la demande d’assistance administrative.
c. L’autorité destinataire s’engage à respecter les secrets professionnels, commerciaux et de fabrication.
d. Les informations et les données à caractère personnel ne sont divulguées que si l’autorité qui les a transmises a donné son accord préalable à leur divulgation.
e. L’autorité destinataire s’engage à respecter les conditions et les restrictions de l’autorité qui a transmis les informations et les données personnelles.
2 Afin d’étayer sa demande d’assistance administrative ou de répondre à la demande d’une autorité, le FDPIC peut notamment fournir les informations suivantes :
a. l’identité du responsable du traitement, du processeur ou de toute autre tierce partie impliquée ;
b. les catégories de sujets de données ;
c. l’identité des personnes concernées par les données si :
1. les sujets des données ont donné leur accord, ou
2. la notification de l’identité des personnes concernées est indispensable pour que le FDPIC ou l’autorité étrangère puisse remplir ses obligations légales ;
d. les données à caractère personnel traitées ou les catégories de données à caractère personnel traitées ;
e. la finalité du traitement ;
f. les destinataires ou les catégories de destinataires ;
g. les mesures techniques et organisationnelles.
3 Avant de divulguer des informations susceptibles de contenir des secrets professionnels, commerciaux ou industriels à une autorité étrangère, le FDPIC informe les personnes physiques ou morales concernées qui sont les détenteurs de ces secrets et les invite à faire part de leurs commentaires, à moins que cela ne soit impossible ou ne soit possible qu’au prix d’efforts disproportionnés.
Section 4 Autres tâches du FDPIC
Art. 56 Registre
Le FDPIC tient un registre des activités de traitement des organes fédéraux. Ce registre est rendu public.
Art. 57 Information
1 Le FDPIC rend compte chaque année de ses activités à l’Assemblée fédérale. Il soumet en même temps le rapport au Conseil fédéral. Le rapport est publié.
2 Dans les cas d’intérêt général, le FDPIC informe le public de ses conclusions et de ses décisions.
Art. 58 Tâches supplémentaires
1 Le FDPIC a en particulier les tâches supplémentaires suivantes :
a. Il informe, forme et conseille les organes fédéraux ainsi que les personnes privées sur les questions de protection des données.
b. Il soutient les organes cantonaux et coopère avec les autorités nationales et étrangères chargées de la protection des données.
c. Il sensibilise le public, et en particulier les personnes privées vulnérables, à la protection des données.
d. Il fournit aux personnes qui en font la demande des informations sur la manière dont elles peuvent exercer leurs droits.
e. Il donne son avis sur les projets de législation fédérale et sur les mesures fédérales qui impliquent un traitement de données.
f. Il s’acquitte des tâches qui lui sont assignées en vertu de la loi sur la liberté de l’information du 17 décembre 2004 ou d’autres lois fédérales.
g. Il élabore des outils de travail à titre de recommandation de bonnes pratiques à l’intention des contrôleurs, des processeurs et des personnes concernées ; à cet égard, il tient compte des particularités de chaque domaine et de la protection des personnes privées vulnérables.
2Il peut également conseiller les organes fédéraux qui ne sont pas soumis à son contrôle en vertu des articles 2 et 4. Les organes fédéraux peuvent lui donner accès à leurs dossiers.
3 Le FDPIC est autorisé à déclarer aux autorités étrangères responsables de la protection des données que la livraison directe est autorisée en Suisse dans le domaine de la protection des données, à condition que la Suisse accorde la réciprocité.
Section 5 Frais
Art. 59
1 Le FDPIC facture aux personnes privées des frais pour :
a. son avis sur un code de conduite visé à l’article 11, paragraphe 2 ;
b. son approbation des clauses types de protection des données et des règles d’entreprise contraignantes en matière de protection des données visées à l’article 16, paragraphe 2, points d) et e) ;
c. sa consultation sur la base d’une évaluation de l’impact sur la protection des données conformément à l’article 23, paragraphe 2 ;
d. les injonctions et mesures provisoires prises en vertu de l’article 51 ; et
e. de lui fournir des conseils sur les questions de protection des données visées à l’article 58, paragraphe 1, point a).
2 Le Conseil fédéral détermine le montant des frais.
3 Il peut déterminer les cas dans lesquels il est possible de renoncer au paiement d’une taxe ou de la réduire.
Chapitre 8 : Dispositions pénales
Art. 60 Violation des obligations de fournir un accès et des informations ou de coopérer
1 Sur plainte, les personnes privées sont passibles d’une amende pouvant aller jusqu’à 250 000 francs suisses si elles :
a. manquent aux obligations qui leur incombent en vertu des articles 19, 21 et 25 à 27 en fournissant délibérément des informations fausses ou incomplètes ;
b. échouent avec brio :
1. pour informer le sujet des données conformément à l’article 19, paragraphe 1, et à l’article 21, paragraphe 1 ; ou
2. à fournir au sujet des données les informations requises en vertu de l’article 19, paragraphe 2.
2 Les particuliers sont passibles d’une amende pouvant aller jusqu’à 250 000 francs suisses si, en violation de l’article 49, paragraphe 3, ils fournissent volontairement de fausses informations à la FDPIC dans le cadre d’une enquête ou refusent volontairement de coopérer.
Art. 61 Violation des devoirs de diligence
Sur plainte, les particuliers sont passibles d’une amende pouvant aller jusqu’à 250 000 francs suisses s’ils agissent volontairement :
a. divulguer des données à caractère personnel à l’étranger en violation de l’article 16, paragraphes 1 et 2, et sans que les conditions énoncées à l’article 17 soient remplies ;
b. confier le traitement des données à un sous-traitant sans que les conditions énoncées à l’article 9, paragraphes 1 et 2, soient remplies ;
c. ne respecte pas les exigences minimales en matière de sécurité des données émises par le Conseil fédéral en vertu de l’article 8, paragraphe 3.
Art. 62 Violation de la confidentialité professionnelle
1 Si une personne divulgue sciemment des données personnelles secrètes dont elle a pris connaissance dans l’exercice de sa profession, qui requiert la connaissance de telles données, elle est passible, sur plainte, d’une amende pouvant aller jusqu’à 250 000 francs suisses.
2 La même peine s’applique à quiconque divulgue volontairement des données personnelles secrètes dont il a pris connaissance dans le cadre de ses activités pour une personne soumise à une obligation de confidentialité ou au cours d’une formation avec une telle personne.
3 La divulgation de données personnelles secrètes reste punissable après la cessation de telles activités professionnelles ou de formation.
Art. 63 Défaut de décision
Les particuliers sont passibles d’une amende pouvant aller jusqu’à 250 000 francs suisses s’ils négligent délibérément de se conformer à une décision prise par le FDPIC en référence à la peine pénale prévue par le présent article ou à une décision prise par les autorités d’appel.
Art. 64 Violations commises au sein d’entreprises
1 Les articles 6 et 7 de la loi fédérale du 22 mars 1974 sur le droit pénal administratif s’appliquent aux infractions commises dans le cadre d’entreprises.
2 Si une amende ne dépassant pas 50 000 francs suisses pouvait être envisagée et que le droit pénal administratif exigeait des mesures d’enquête qui seraient disproportionnées par rapport à la peine encourue, l’autorité peut s’abstenir de poursuivre ces personnes et condamner l’entreprise au paiement de l’amende (article 7 du droit pénal administratif).
Art. 65 Compétence
1 Les cantons sont responsables de la poursuite et du jugement des actes criminels.
2 Le FDPIC peut signaler une infraction pénale aux autorités compétentes en matière de poursuites pénales et exercer les droits d’un plaignant privé dans le cadre de la procédure.
Art. 66 Statute of limitations for criminal prosecution (Statut des limites de la poursuite pénale)
Le droit d’intenter des poursuites pénales est soumis à un statut de limitation de cinq ans.
Chapitre 9 : Conclusion des traités internationaux
Art. 67
Le Conseil fédéral peut conclure des traités internationaux concernant :.
a. la coopération internationale entre les autorités de protection des données ;
b. la reconnaissance mutuelle d’un niveau de protection adéquat pour la divulgation de données à caractère personnel à l’étranger.
Chapitre 10 : Provisions finales
Art. 68 Répétition et modifications d’autres législations
Le rappel et les modifications d’autres législations figurent à l’annexe 1.
Art. 69 Dispositions transitoires concernant le traitement en cours
Les articles 7, 22 et 23 ne s’appliquent pas aux opérations de traitement de données qui ont débuté avant l’entrée en vigueur de la présente loi, si la finalité du traitement reste inchangée et si aucune nouvelle donnée n’est obtenue.
Art. 70 Dispositions transitoires concernant les procédures en cours
La présente loi ne s’applique pas aux enquêtes du FDPIC qui sont en cours à la date de son entrée en vigueur, ni aux recours en suspens contre des décisions de première instance rendues avant son entrée en vigueur. Dans ces matières, la loi antérieure s’applique.
Art. 71 Disposition transitoire concernant les données relatives aux entités juridiques
Pour les organes fédéraux, les dispositions d’autres réglementations fédérales concernant les données à caractère personnel continuent de s’appliquer aux données relatives aux entités juridiques pendant trois ans après l’entrée en vigueur de la présente loi. Pendant cette période, les organes fédéraux peuvent notamment continuer à communiquer les données relatives aux entités juridiques visées à l’article 57s, paragraphes 1 et 2, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration, si les organes fédéraux sont habilités à communiquer des données à caractère personnel sur une base légale.
Art. 72 Disposition transitoire relative à l’élection et à la cessation de fonctions du commissaire
1 L’élection du commissaire et la cessation de ses fonctions sont régies par la loi en vigueur jusqu’à la fin de la période législative au cours de laquelle la présente loi entre en vigueur. 2 Si le président est élu alors que le commissaire est élu pour la première fois par l’Assemblée fédérale, le nouveau mandat du commissaire débute le jour suivant l’élection.
Art. 72a Disposition transitoire relative à l’emploi du commissaire
La relation d’emploi du commissionnaire qui a été établie en vertu de la loi précédente sera régie par la loi précédente.
Art. 73 Coordination
La coordination avec d’autres actes est définie à l’annexe 2.
Art. 74 Référendum et entrée en vigueur
1 Le présent acte est soumis à un référendum facultatif.
2 Le Conseil fédéral fixe la date d’entrée en vigueur.