- Le Conseil fédéral donne la priorité au maintien de la décision d’adéquation de l’UE et adapte la P‑LPD au RGPD, résultat dépendant de la décision du Parlement.
- En cas d’incertitude, les entreprises doivent consulter à la fois le PFPDT et l’autorité de surveillance compétente de l’UE ; les compétences de chaque autorité restent autonomes.
- Un accord de coopération avec l’UE prendra des années ; le Conseil fédéral attend l’avancement des travaux parlementaires pour négocier.
Le Conseil fédéral a décidé de Interpellation Fiala (17.4088) concernant les questions de mise en œuvre du règlement général sur la protection des données de l’UE le 2 mars 2018, a pris position comme suit :
[Question FialaL’UE continuera-t-elle à reconnaître l’équivalence de la législation suisse en matière de protection des données ?]1. le maintien de la décision d’adéquation de l’UE est un objectif prioritaire pour le Conseil fédéral. C’est notamment pour cette raison qu’il a décidé d’aligner le contenu de la P‑LPD sur les exigences du projet de révision de la Convention STE 108 et du RGPD. Il n’est pas possible de prévoir aujourd’hui quand la Commission européenne réexaminera l’adéquation du droit suisse de la protection des données et si le résultat sera positif. Pour que la Suisse puisse maintenir la déclaration d’adéquation existante, elle doit présenter un niveau de protection comparable à celui de l’UE. L’issue de cet examen dépendra essentiellement des décisions prises par le Parlement dans le cadre de la révision de la législation suisse en matière de protection des données.
Comme la CIP‑N a décidé de scinder le projet et de l’examiner en deux étapes (cf. ch. 9 ci-après), des retards sont probables. Si, lors de son prochain examen du droit suisse de la protection des données, la Commission européenne arrive à la conclusion que celui-ci – parce que la LPD n’a pas encore été révisée – ne garantit plus un niveau de protection adéquat, elle peut révoquer, modifier ou suspendre la décision d’adéquation. Cela aurait des conséquences négatives pour l’économie suisse et en particulier pour les PME. Les données personnelles de l’UE ne pourraient plus être transmises sans autre à la Suisse, mais il faudrait prendre des mesures de sécurité supplémentaires. Les entreprises suisses devraient par exemple s’engager contractuellement envers les entreprises de l’UE à respecter le niveau européen de protection des données.
[Question FialaQui est l’interlocuteur des entreprises suisses (p. ex. pour les obligations de déclaration) concernant le RGPD et la P‑LPD ? Est-ce le PFPDT, un organisme de l’UE ou même les deux ?]2. chaque autorité appliquera son propre droit. Si le responsable du traitement des données estime qu’il est soumis à la fois à la LPD et au RGPD, il s’adressera au PFPDT et à l’autorité de contrôle étrangère compétente.
[Question FialaLes enquêtes et les éventuelles sanctions à l’encontre d’entreprises suisses sont-elles menées par un organisme suisse ? Comment et par qui ?]3. l’enquête et l’application de sanctions à l’encontre d’une entreprise ayant son siège en Suisse mais soumise au RGPD relèvent de la compétence des autorités de contrôle des États membres de l’UE. En l’absence d’un accord de coopération, celles-ci ne peuvent toutefois pas mener elles-mêmes d’actes d’enquête en Suisse. Si une entreprise doit désigner un représentant dans l’UE (art. 27 RGPD), les autorités de contrôle européennes peuvent notifier ses décisions à l’entreprise suisse par l’intermédiaire de ce représentant, sans passer par la voie diplomatique.
[Question FialaLes entreprises peuvent-elles être sanctionnées à la fois par la Suisse et par l’UE pour le même cas ?]4. cette possibilité n’est pas à exclure. Le principe ne bis in idem (interdiction de la double poursuite) pourrait toutefois s’appliquer en cas de cumul d’amendes infligées par l’UE et de sanctions pénales prononcées par les autorités de poursuite pénale suisses.
[Question Fiala: Les entreprises peuvent-elles être sanctionnées par l’UE ou ses Etats membres bien qu’elles respectent le droit suisse ? Non,]5. oui, s’ils sont soumis au RGPD et enfreignent ses dispositions
[Question FialaLes certifications et les organismes de certification suisses sont-ils reconnus par l’UE ?]6) Le RGPD ne prévoit pas de procédure de reconnaissance par l’UE des certifications et des organismes de certification suisses.
[Question FialaLa Suisse est-elle impliquée dans l’élaboration de normes ?]7) Le RGPD ne contient aucune disposition prévoyant une telle participation de la Suisse. Il n’est toutefois pas exclu que des entreprises suisses puissent être impliquées, par exemple dans le cadre de l’élaboration de codes de conduite.
[Question FialaLe RGPD renvoie à de nombreux endroits au droit des États membres. Quel rôle joue le droit suisse dans ce contexte ?]8) La Suisse n’est pas un État membre au sens du RGPD. Cela vaut indépendamment du fait que cet acte puisse s’appliquer directement aux entreprises suisses en vertu de son article 3, paragraphe 2. Les références au droit des États membres n’incluent pas le droit suisse, qui ne joue donc aucun rôle..
[Question FialaCes questions montrent qu’il existe un grand besoin de coordination avant même que la révision de la LPD ne soit débattue au Parlement. C’est pourquoi le Conseil fédéral a été chargé, par la motion 16.3752 transmise, de rechercher un accord correspondant avec l’UE. Selon la réponse à ma question 17.5528 lors de l’heure des questions du 4 décembre, le Conseil fédéral a déclaré qu’il ne souhaitait pas contacter la Commission européenne avant les débats parlementaires. Or, les questions susmentionnées se posent déjà en mai 2018 pour de nombreuses entreprises suisses. En outre, ces questions de mise en œuvre sont justement très précieuses pour les délibérations sur la LPD suisse. Quelles mesures le Conseil fédéral compte-t-il prendre pour régler le plus rapidement possible ce besoin de coordination dans le droit des traités internationaux ?]9. la conclusion d’un Accord de coopération entre la Suisse et l’UE prendra probablement plusieurs années. Les chances de succès dépendront de la capacité de la Suisse à démontrer que sa législation en matière de protection des données garantit un niveau de protection adéquat au sens du RGPD. C’est pourquoi le Conseil fédéral a jugé opportun d’attendre le début des travaux parlementaires.. Un premier contact avec la Commission européenne était prévu pour début 2018. Vu la décision de la Commission des institutions politiques du Conseil national du 11 janvier 2018 de traiter en priorité les mesures législatives nécessaires à la mise en œuvre de l’acquis de Schengen et de procéder dans une deuxième étape à l’examen des adaptations visant à rapprocher le droit suisse de la protection des données des exigences du RGPD, le Conseil fédéral a toutefois l’intention d’attendre avant de franchir le pas..