Rapport OLPD

sociétés concernées. Comme il résulte du message (FF 2003, p. 1942), la procédure d’information doit être aussi simple que possible ; le préposé peut par exemple être informé par Internet. Il examine si les garanties ou les règles de protection fournies assurent un niveau de protection adéquat au sens des exigences de la Convention STE 108. Si tel n’est pas le cas, il intervient auprès du maître du fichier dans un délai raisonnable et émet, le cas échéant, une recommandation conformément à l’art. 29 LPD. A défaut de réaction de la part du préposé, le maître du fichier peut partir du principe que les garanties et les règles de protection des données fournies sont conformes aux exigences du nouvel art. 6 LPD.

Comme il résulte du message (FF 2003, p. 1942), le devoir d’information prévu au nouvel art. 6, al. 3, LPD ne signifie pas que le maître du fichier a l’obligation d’informer le préposé de chaque communication particulière. L’art. 5, al. 2, let. a, du projet de révision précise ce point en prévoyant expressément que le devoir d’information vaut pour toutes les communications qui se basent sur les mêmes garanties, pour autant que les destinataires, les finalités et les catégories de données restent inchangés. Quant aux règles de protection des données établies au sein d’une même personne morale ou société ou entre des personnes morales ou sociétés réunies sous une direction unique, elles s’appliquent à toutes les communications de données effectuées entre elles, indépendamment de la catégorie des données communiquées et de la finalité poursuivie. Le devoir d’information vaut donc de manière globale pour toutes ces communications, pour autant que les règles de protection restent inchangées (art. 5, al. 2, let. b, du projet de révision).

L’art. 5, al. 3, du projet de révision prévoit un devoir d’information allégé, lorsque le maître du fichier utilise les contrats modèles établis ou reconnus par le préposé, tels que les clauses modèles du contrat type du Conseil de l’Europe. Le maître du fichier doit uniquement informer le préposé qu’il utilise de manière générale (ou, le cas échéant, avec certaines exceptions) les contrats modèles reconnus par ce dernier pour communiquer des données vers un Etat qui ne dispose pas d’une législation assurant un niveau de protection adéquat. Il s’ensuit que le maître du fichier n’est plus tenu d’informer le préposé sur chaque communication ou catégorie de communications. Cependant, s’il utilise d’autres garanties pour des cas déterminés, le devoir d’informer le préposé s’applique.

La 2^èmephrase de l’al. 3 charge le préposé de publier une liste des contrats modèles qui peuvent être utilisés.

Selon le message (FF 2003, p. 1941), le maître du fichier qui communique des données à l’étranger est responsable du préjudice qui pourrait résulter d’une violation de l’obligation de diligence. Il lui incombe en particulier de démontrer qu’il a pris toutes les mesures nécessaires pour s’assurer d’un niveau de protection adéquat. L’ordonnance met en œuvre cette obligation de diligence en prévoyant que le maître du fichier prend les mesures adéquates pour s’assurer que le destinataire respecte les garanties ou les règles de protection des données. La question de savoir si les mesures sont adéquates dépend des circonstances du cas d’espèce. Les exigences seront plus élevées s’il s’agit de données sensibles ou de profils de la personnalité que pour les autres données personnelles. En cas de non-respect des garanties ou des règles de protection par le destinataire, le maître du fichier l’invite à remédier à cette situation.

2.3.2 Abrogation de l’actuel art. 6 OLPD