L’Organisation de coopération et de développement économiques (OCDE), dont font partie, outre la Suisse, des États tels que le Royaume-Uni et les États-Unis (pas l’UE, qui participe toutefois aux travaux de l’OCDE), a adopté le 14 décembre 2022 une Déclaration sur l’accès des autorités aux données personnelles dans les entreprises privées adopté (Déclaration sur l’accès des pouvoirs publics aux données personnelles détenues par les entités du secteur privé). Elle n’arrive certainement pas par hasard juste après Projet de décision d’adéquation pour le TADPF.
La déclaration
- est ce qu’on appelle un “Substantif Outcome Document”. Cet instrument de l’OCDE n’est pas adopté par l’OCDE elle-même, mais par les différents États participants qui se sont mis d’accord dans le cadre de l’organisation de l’OCDE, ici entre autres la Suisse, la Turquie, le Royaume-Uni, les États-Unis et l’UE. Ces instruments contiennent en général des objectifs plutôt abstraits ou à long terme et ont, selon l’OCDE, “a solemn character”, c’est-à-dire qu’ils sont purement programmatiques ;
- vise à promouvoir la confiance dans la circulation transfrontalière des données dans l’intérêt de l’économie mondiale et à établir une norme sur la manière de limiter le pouvoir de l’État dans une démocratie, et
- s’applique à la collecte et à l’utilisation de données personnelles détenues ou contrôlées par des entreprises du secteur privé (y compris les ONG) pour à des fins d’application de la loi et de sécurité nationaleLes entreprises sont tenues de fournir des données à caractère personnel, y compris lorsqu’elles sont tenues de fournir des données qui sont stockées dans un système d’information. justifier d’un autre État sont
La déclaration s’adresse aux États membres et exige les mesures suivantes:
- L’accès aux données requiert une décision contraignante, démocratiquement légitimée et suffisamment claire. Base juridique qui offre une protection contre les abus et les détournements d’usage.
- L’accès aux données ne peut être accordé qu’à certaines personnes légitimes. Objectifs et doit proportionnel et être conforme à la loi. Il ne doit notamment pas servir à la censure ou à la discrimination.
- L’accès requiert une autorisation de l’État. Autorisation est préalable. Si, exceptionnellement, une autorisation n’est pas nécessaire, d’autres mesures de protection doivent intervenir.
- Les données personnelles ne peuvent être utilisées que par des personnes autorisées et uniquement dans le cadre du droit qui prévoit des mesures de protection, entre autres, de la légalité, de la proportionnalité et de l’exactitude des données.
- Il faut Contrôles de prévenir, de détecter et de corriger les pertes de données ou les utilisations abusives et de les signaler aux autorités de contrôle.
- Le cadre juridique doit être clair et accessible au public afin que les impacts puissent être identifiés et évalués. Le site Transparence d’accès doit être assurée de manière appropriée, en tenant compte des préoccupations légitimes en matière de confidentialité.
- Le site Supervision par des tribunaux ou des autorités indépendantes doit être neutre, efficace, suffisamment dotée et accountable être.
- Les particuliers disposent de voies de recours judiciaires et extrajudiciaires efficaces. Voies de recours. Il est toutefois permis de limiter l’information des individus sur les accès ou les infractions.