Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Dans le cadre du programme de Stockholm²², l’Union européenne a exprimé sa volonté de disposer d’une nouvelle législation uniforme en matière de protection des données afin notamment de garantir le droit fondamental des personnes à la protection de leurs données personnelles, de permettre le développement de l’économie numérique et d’améliorer la lutte contre la criminalité et le terrorisme. Le Conseil européen a dès lors invité la Commission européenne à évaluer le fonctionnement de la directive 95/46/CE et de la décision-cadre 2008/977/JAI et à lui présenter le cas échéant des nouvelles initiatives en matière de protection des données. Dans sa communication du 4 novembre 2010 intitulée « une approche globale de la protection des données à caractère personnel dans l’Union européenne »²³, la Commission européenne a conclu que l’Union européenne avait besoin d’une politique plus globale et plus cohérente à l’égard du droit fondamental à la protection des données à caractère personnel.

Le 27 avril 2016, le Parlement européen et le Conseil de l’Union européenne ont adopté une réforme de la législation sur la protection des données qui comprend deux actes législatifs. Il s’agit d’une part du règlement (UE) 2016/679²⁴ relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (ci-après « règlement [UE] 2016/679 ») qui remplacera la directive 95/46/CE (voir ci-après ch. 4). Le second acte adopté est la directive (UE) 2016/680²⁵ relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données (ci-après « directive (UE) 2016/680 »), qui remplacera la décision-cadre 2008/977/JAI (voir ci-après ch. 2).

La directive (UE) 2016/680 constitue pour la Suisse un développement de l’acquis de

Schengen ; celle-ci doit donc le reprendre en vertu de l’accord d’association du 26 octobre 2004 conclu entre la Confédération, l’Union européenne et la Communauté européenne sur l’association de la Confédération suisse à la mise en œuvre, à l’application et au développement de l’acquis de Schengen (accord d’association à Schengen)²⁶. En revanche, la Suisse n’est pas tenue de reprendre le règlement (UE) 2016/679 car, selon l’Union européenne, il ne constitue pas un développement de l’acquis de Schengen.

1.2.2.2 Décision d’adéquation

Dans les domaines qui ne relèvent pas de la coopération instaurée par Schengen, la Suisse est considérée comme un Etat tiers. Or, l’échange de données entre un Etat tiers et les Etats membres de l’Union européenne ne peut se faire que si le pays tiers assure un niveau de protection adéquat au sens de la directive 95/46/CE. Ce niveau de protection fait régulièrement l’objet d’une évaluation de la Commission européenne qui rend, le cas échéant, une décision d’adéquation. Cette dernière peut être révoquée en tout temps.

Par décision du 26 juillet 2000, la Commission européenne a constaté que la Suisse dispose d’un niveau de protection adéquat des données²⁷. Cette décision se fonde toutefois sur le niveau de protection défini par la directive 95/46/CE. A l’avenir, l’examen de la législation suisse se fera à la lumière des exigences contenues dans le règlement (UE) 2016/679. Si la Suisse souhaite conserver la décision d’adéquation dont elle bénéficie ou si, en cas de révocation, elle entend obtenir à nouveau une telle décision, il est essentiel que sa législation corresponde aux exigences du règlement (UE) 2016/679.

²²JO C 115, du 4.5.2010, p. 1.

²³COM (2010) 609 final.

²⁴Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des pers onnes phy-

siques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, JO L 119 du 4.5.2016 p. 1.

²⁵Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes phy-

siques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, JO L 119 du 4.5.2016 p. 89.

26 RS 0.362.31