Com­ment gérer les dis­po­si­ti­ons péna­les de la nou­vel­le loi sur la pro­tec­tion des données ?

C’est la nou­veau­té de la loi révi­sée sur la pro­tec­tion des don­nées la plus dis­cu­tée dans les milieux de la pro­tec­tion des don­nées : les nou­vel­les dis­po­si­ti­ons péna­les. L’in­cer­ti­tu­de est gran­de et de nombreu­ses ent­re­pri­ses – et leurs col­la­bo­ra­teurs char­gés de la pro­tec­tion des don­nées – se deman­dent com­ment “gérer” le ris­que pénal dans la pra­tique de l’entreprise.

Rap­pel : en cas de vio­la­ti­on des dis­po­si­ti­ons rela­ti­ves à la pro­tec­tion des don­nées, la nou­vel­le loi sur la pro­tec­tion des don­nées, à la dif­fé­rence du RGPD, ne punit pas les ent­re­pri­ses, mais les per­son­nes qui agis­sent en leur nom. Une amen­de pou­vant aller jus­qu’à 250 000 CHF, com­bi­née dans cer­ta­ins cas à une inscrip­ti­on au casier judi­ciai­re (visi­ble uni­quement pour les auto­ri­tés). Seuls les actes inten­ti­on­nels sont punis­sa­bles, ce qui inclut non seu­le­ment la com­mis­si­on volon­tai­re de l’in­frac­tion, mais aus­si l’ac­cep­t­ati­on de cel­le-ci. La plu­part du temps, une plain­te péna­le d’u­ne per­son­ne con­cer­née est néces­saire pour que les auto­ri­tés de pour­suite péna­le agis­sent. Une per­son­ne con­cer­née peut dépo­ser une tel­le deman­de, mais pas le PFPDT.

Sont sur­tout men­acées de sanc­tions les obli­ga­ti­ons d’in­for­ma­ti­on et de rens­eig­ne­ment, la garan­tie d’u­ne sécu­ri­té adé­qua­te des don­nées ain­si que les obli­ga­ti­ons en cas de recours à des sous-trai­tants et de trans­ferts de don­nées à l’étran­ger. La vio­la­ti­on d’aut­res obli­ga­ti­ons reste en revan­che impu­nie. Ain­si, celui qui, par exemp­le, ne décla­re pas une vio­la­ti­on de don­nées, ne tient pas de regist­re des trai­te­ments ou omet de pro­cé­der à une ana­ly­se d’im­pact sur la pro­tec­tion des don­nées mal­gré des ris­ques éle­vés, n’a pas à cra­ind­re de sanc­tion. Le choix des obli­ga­ti­ons punis­sa­bles est assez alé­a­toire et ne reflè­te au mieux qu’en par­tie le carac­tère illi­ci­te de la vio­la­ti­on de l’obligation.

De nombreu­ses stra­té­gies, mais pas de “Sil­ver Bullet

Quel­les pré­cau­ti­ons peu­vent donc être pri­ses en vue du nou­veau régime pénal ? La meil­leu­re pro­tec­tion cont­re une pro­cé­du­re péna­le est bien enten­du le respect de la légis­la­ti­on sur la pro­tec­tion des don­nées. Celui qui respec­te la loi n’a rien à cra­ind­re. Seu­le­ment, le droit de la pro­tec­tion des don­nées est deve­nu si com­ple­xe et si strict qu’il est dif­fi­ci­le de respec­ter tou­tes les dis­po­si­ti­ons à tout moment et dans leur inté­gra­li­té. La réfle­xi­on doit donc aller au-delà des efforts visa­nt à garan­tir au mieux le respect des règles.

Dans la pra­tique, les stra­té­gies sui­van­tes se sont notam­ment déga­gées pour fai­re face aux nou­vel­les dis­po­si­ti­ons pénales :

• Assu­rance : De nombreu­ses ent­re­pri­ses dis­po­sent déjà d’u­ne assu­rance D&O ou d’u­ne assu­rance cont­re les cyber-ris­ques. L’i­dée d’é­tendre la cou­ver­tu­re d’assu­rance aux nou­vel­les amen­des pré­vues par la loi sur la pro­tec­tion des don­nées est évi­den­te. Selon l’o­pi­ni­on domi­nan­te, les amen­des de la nou­vel­le loi sur la pro­tec­tion des don­nées, en tant que sanc­tions péna­les, sont tou­te­fois de natu­re haute­ment per­son­nel­le et ne peu­vent donc pas être assu­rées. Selon l’o­pi­ni­on répan­due, un assur­eur se ren­drait même cou­pa­ble de favo­ri­tis­me et donc lui-même punis­sa­ble. Seuls (mais tout de même) les frais de défen­se péna­le et de pro­cé­du­re, qui sont déjà inclus dans la cou­ver­tu­re de nombreu­ses assu­ran­ces D&O cou­ran­tes, sont assurables.
• Pri­se en char­ge des amen­des par l’em­ployeur : L’ef­fet est pro­che de celui d’u­ne assu­rance lorsque l’entre­pri­se pro­met à ses col­la­bo­ra­teurs de prend­re en char­ge une éven­tu­el­le amen­de. Cer­tai­nes ent­re­pri­ses envis­agent appa­rem­ment de le fai­re, mais la plu­part sont réti­cen­tes. Les ent­re­pri­ses atten­dent de leurs col­la­bo­ra­teurs qu’ils respec­tent les lois en vigueur. Il s’a­git de cré­er des inci­ta­ti­ons pour un com­porte­ment con­for­me à la loi, et non pour des infrac­tions à la loi. La punis­sa­bi­li­té dans le cad­re de la nou­vel­le loi sur la pro­tec­tion des don­nées pré­sup­po­se en out­re par défi­ni­ti­on une inten­ti­on, et quel­le ent­re­pri­se sou­hai­terait indem­ni­s­er ses col­la­bo­ra­teurs s’ils ont agi inten­ti­on­nel­le­ment de maniè­re illé­ga­le. (Sach­ant que dans la pra­tique, le dol éven­tuel, éga­le­ment punis­sa­ble, est tou­te­fois plus pro­che de la nég­li­gence que du “savoir et vou­loir” clas­si­que de l’ac­te). A cela s’a­jou­te le fait que, dans ce cas éga­le­ment, l’o­pi­ni­on selon laquel­le une pri­se en char­ge de l’a­men­de échoue en rai­son du carac­tère haute­ment per­son­nel des sanc­tions péna­les est lar­ge­ment répandue.
• Aigu­i­ser les voies de décis­i­on : La volon­té d’af­fi­ner l’or­ga­ni­sa­ti­on et de cré­er des struc­tures décis­i­on­nel­les clai­res est très répan­due. L’ob­jec­tif est de défi­nir clai­re­ment pour tou­tes les per­son­nes con­cer­nées où les décis­i­ons sont pri­ses et qui ne fait que cré­er des bases de décis­i­on sans prend­re de décis­i­on elle-même. Cela per­met de cla­ri­fier les responsa­bi­li­tés. La plu­part des respons­ables de la pro­tec­tion des don­nées au sein des ent­re­pri­ses vou­dront pré­cis­er à cet égard que les délé­gués à la pro­tec­tion des don­nées ou les con­seil­lers à la pro­tec­tion des don­nées n’ont qu’un rôle con­sul­ta­tif et non décis­i­on­nel. Ces struc­tures décis­i­on­nel­les dev­rai­ent éga­le­ment se reflé­ter dans les descrip­ti­ons de poste et de fonc­tion per­ti­nen­tes. En com­plé­ment, des dis­po­si­ti­ons DPO et des régle­men­ta­ti­ons d’ac­com­pa­gne­ment simi­lai­res peu­vent con­so­li­der davan­ta­ge les com­pé­ten­ces défi­nies. – La stra­té­gie inver­se con­si­sterait d’ail­leurs à cré­er sciem­ment des struc­tures décis­i­on­nel­les dif­fu­ses et à rend­re aus­si dif­fi­ci­le que pos­si­ble l’i­den­ti­fi­ca­ti­on de la per­son­ne responsable par les auto­ri­tés de pour­suite péna­le. Ceci dans l’e­s­poir que les auto­ri­tés de pour­suite péna­le fas­sent usa­ge de la pos­si­bi­li­té pré­vue par la loi de punir l’entre­pri­se com­mer­cia­le au lieu de la per­son­ne phy­si­que. Même si cet­te stra­té­gie pour­rait tout à fait about­ir au résul­tat sou­hai­té, on ne peut pas sérieu­se­ment con­seil­ler de dis­si­mu­ler sciem­ment les responsabilités.
• Docu­men­ta­ti­on : Un con­seil sou­vent enten­du est de docu­men­ter autant que pos­si­ble. Les décis­i­ons rela­ti­ves aux ris­ques, en par­ti­cu­lier, dev­rai­ent être docu­men­tées de maniè­re exhaus­ti­ve et donc com­pré­hen­si­bles. Cela ne per­met cer­tes pas tou­jours d’é­vi­ter les vio­la­ti­ons des dis­po­si­ti­ons rela­ti­ves à la pro­tec­tion des don­nées, mais il dev­rait être dif­fi­ci­le de con­clu­re à un acte inten­ti­on­nel. D’un aut­re côté, la docu­men­ta­ti­on peut aus­si être un échec : s’il est docu­men­té qu’u­ne vio­la­ti­on de la pro­tec­tion des don­nées a été sciem­ment accep­tée, l’in­ten­ti­on éven­tu­el­le est qua­si­ment prouvée.
• Pre­neur de ris­que dési­gné : L’u­ne des appro­ches les plus ori­gi­na­les con­si­ste à dési­gner un “pre­neur de ris­que dési­gné” (Desi­gna­ted Risk Taker), vers lequel les ris­ques de sanc­tion sont cana­li­sés autant que pos­si­ble. L’a­van­ta­ge : grâ­ce à une attri­bu­ti­on clai­re, le ris­que de sanc­tion devi­ent “géra­ble”. Les ris­ques peu­vent être éva­lués et indem­ni­sés, c’est-à-dire rému­n­é­rés. La cons­truc­tion déri­vée du sec­teur finan­cier est un jeu d’e­sprit inté­res­sant, mais dans la pra­tique, l’appro­che n’est guè­re pra­ti­ca­ble. La responsa­bi­li­té péna­le est déter­mi­née par les con­di­ti­ons et les struc­tures décis­i­on­nel­les réel­les, et non par des affec­ta­ti­ons con­çues. En out­re, il faut être d’un natu­rel très enclin à prend­re des ris­ques pour se mett­re à dis­po­si­ti­on en tant que “Desi­gna­ted Risk Taker”.

Un mau­vais ser­vice ren­du à la pro­tec­tion des données

L’a­per­çu ci-des­sus mont­re qu’il n’e­xi­ste pas de recet­te mira­cle pour fai­re face aux nou­vel­les dis­po­si­ti­ons péna­les. Le ris­que de sanc­tions péna­les dans le cad­re de la loi révi­sée sur la pro­tec­tion des don­nées est une réa­li­té et ne peut être ni assu­ré ni “orga­ni­sé”. Il vaut tou­te­fois la pei­ne de se pen­cher sur les dis­po­si­ti­ons péna­les et d’é­la­bo­rer une stra­té­gie. Un ren­force­ment de l’or­ga­ni­sa­ti­on et des struc­tures décis­i­on­nel­les ain­si qu’u­ne docu­men­ta­ti­on con­sé­quen­te des décis­i­ons pri­ses en matiè­re de ris­ques con­sti­tu­ent cer­tai­ne­ment de bons points de départ. Il reste enco­re un peu de temps. Il reste enco­re envi­ron un an avant l’en­trée en vigueur de la révision.

Cepen­dant, les pre­miers effets des nou­vel­les dis­po­si­ti­ons péna­les sont déjà obser­v­a­bles aujour­d’hui. Les ent­re­pri­ses rap­portent que la volon­té d’as­su­mer une fonc­tion pro­che de la pro­tec­tion des don­nées au sein d’u­ne ent­re­pri­se a sen­si­blem­ent dimi­n­ué. L’u­ne des rai­sons est la crain­te de s’ex­po­ser au ris­que de sanc­tions péna­les. C’est un signe d’a­ver­tis­se­ment : Les orga­ni­sa­ti­ons de pro­tec­tion des don­nées qui fonc­tion­nent se basent sur des fonc­tions de pro­tec­tion des don­nées décen­tra­li­sées dans les sec­teurs d’ac­ti­vi­té. Si cel­les-ci ne sont pas occu­p­ées com­me sou­hai­té, une pro­tec­tion des don­nées effi­cace devi­ent dif­fi­ci­le. Les nou­vel­les dis­po­si­ti­ons péna­les ren­dent un mau­vais ser­vice aux objec­tifs essen­tiels de la pro­tec­tion des données.

Mat­thi­as Glatt­haar est responsable de la pro­tec­tion des don­nées et char­gé de la pro­tec­tion des don­nées à la Fédé­ra­ti­on des coopé­ra­ti­ves Migros. Il don­ne son avis personnel.