Rapport explicatif

Conformément à l’al. 1, let. d, l’Etat-tiers ou l’organisme international doit en outre assurer un niveau de protection adéquat des données. S’agissant des conditions à remplir pour que le niveau de protection puisse être considéré comme « adéquat », l’art. 13, par. 4 de la décision-cadre prévoit que ce critère s’apprécie au regard de toutes les circonstances relatives à une opération de transfert ou à un ensemble d’opérations de transferts de données. L’autorité compétente doit en particulier prendre en considération la nature des données, la finalité des traitements envisagés, l’Etat d’origine et l’Etat ou l’organisme international de destination finale, les règles de droit générales ou sectorielles en vigueur dans l’Etat-tiers ou auprès de l’organisme international en question, ainsi que les règles professionnelles et les mesures de sécurité qui s’y appliquent. L’objet et le but de la décision-cadre, à savoir «garantir (….) un niveau élevé de protection des droits et libertés fondamentaux des personnes physiques, en particulier leur droit au respect de la vie privée (…) », constitue le critère matériel déterminant. Le niveau de protection offert par un pays-tiers ou par un organisme international peut être qualifié d’adéquat lorsque les données de la personne concernée y sont traitées d’une manière qui répond en substance aux principes de protection des données de la décision-cadre⁶². Dans le cas d’espèce, l’autorité compétente devra donc examiner l’ensemble des circonstances qui jouent un rôle dans le cadre de la communication qu’elle envisage de faire. Un examen général du niveau de protection dans l’Etat-tiers ne suffit pas. En effet, il est possible qu’un Etat-tiers soit en mesure d’assurer un niveau de protection adéquat dans un certain domaine ou pour une certaine catégorie de communications, et non dans d’autres secteurs.

Il convient de relever que l’on retrouve la notion de « niveau de protection adéquat » à l’art. 6 LPD. Toutefois, cette disposition ne s’applique pas aux procédures pendantes d’entraide judiciaire internationale (art. 2, al. 2, let. c, LPD).

Lorsque l’Etat-tiers ou l’organisme international ne garantit pas un niveau de protection adéquat, l’al. 4 prévoit une liste exhaustive d’exceptions. Si une de ces exceptions s’applique, l’autorité compétente est libérée de l’interdiction de communiquer des données personnelles à un Etat-tiers ou à un organisme international n’assurant pas un niveau de protection adéquat.

L’al. 4, let. a, prévoit qu’en dérogation à l’al. 1, let. d, des données peuvent être communiquées dans un cas d’espèce si la communication est nécessaire pour protéger des intérêts dignes de protection prépondérants de la personne concernée, tels que sa vie ou sa santé, ou ceux d’un tiers. La let. b prévoit également une exception lorsqu’un intérêt public prépondérant l’exige.

En vertu de l’al. 4, let. c, des données personnelles peuvent être communiquées si des garanties suffisantes sont fournies permettant d’assurer un niveau de protection adéquat des données de la personne concernée. Cette exception permet donc à l’autorité compétente d’envisager la communication de données personnelles à un Etat tiers ou à un organisme international en l’invitant, par exemple dans le cadre d’un échange de notes, à s’engager formellement à respecter un certain nombre de principes généraux de protection des données à l’égard de la personne concernée. Pour que les garanties soient jugées suffisantes au regard des exigences de la décision-cadre, elles doivent se référer au traitement des données par l’autorité compétente de l’Etat-tiers ou par l’organisme international destinataire et prévoir que les données communiquées seront traitées conformément aux principes géné-