Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

1.2.2.3 Recommandations suite à l’évaluation Schengen

En s’associant à Schengen, la Suisse s’est engagée à ce que les traitements de données personnelles effectués dans le cadre de la coopération Schengen soient conformes à la réglementation de l’Union européenne applicable en matière de protection des données, en particulier la directive 95/46/CE et la décision cadre 2008/977/JAI.

Dans le cadre du mécanisme d’évaluation Schengen, l’Union européenne évalue périodiquement les Etats Schengen, dont la Suisse, afin de contrôler si ceux-ci respectent leurs engagements. La dernière évaluation Schengen de la Suisse a eu lieu durant le premier semestre 2014.

Le 11 septembre 2014, le Conseil de l’Union européenne a adopté le rapport du comité d’évaluation concernant la protection des données en Suisse. Selon les conclusions de ce rapport, la législation suisse en matière de protection des données est conforme aux exigences de l’acquis de Schengen. Le rapport d'évaluation contient toutefois une recommandation qui invite la Suisse à renforcer les pouvoirs du préposé en lui attribuant des pouvoirs décisionnels. Le comité d’évaluation note au surplus que le renforcement de ses pouvoirs de sanction serait bienvenu. La Suisse aura à rendre compte de la manière dont elle a mis en œuvre les recommandations des experts lors de la prochaine évaluation qui aura lieu en 2018.

L’AP-LPD donne suite aux recommandations du Conseil, dans la mesure où des compétences décisionnelles sont conférées au préposé (voir art. 41 à 43 AP-LPD). Par contre, le Conseil fédéral est arrivé à la conclusion qu’il n’est pas opportun de conférer au préposé la compétence de prononcer des sanctions administratives à l’encontre des organes fédéraux, au motif qu’une telle possibilité, qui existe dans d’autres pays, n’est pas conforme à notre tradition juridique. Le Conseil fédéral considère que la possibilité pour le préposé d’interdire ou de suspendre un traitement effectué par un organe fédéral, ainsi que le renforcement du volet pénal de la loi constituent des mesures suffisantes.

1.2.3 Conseil de l’Europe

Le Conseil de l’Europe a adopté, le 28 janvier 1981, le premier traité international en matière de protection des données, à savoir la Convention du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (ci-après « convention STE 108 »)²⁸ qui a été ratifiée par la Suisse le 2 octobre 1997. Cette convention a été complétée par le protocole additionnel du 8 novembre 2001 à la convention STE 108 concernant les autorités de contrôle et les flux transfrontières de données²⁹ (STE 181, ci-après « protocole additionnel ») que la Suisse a également ratifié, le 20 décembre 2007. La convention a entretemps été ratifiée par d’autres Etats qui ne sont pas membres du Conseil de l’Europe (voir ch. 3.1).

En 2011, le Conseil de l’Europe a entamé une procédure de modernisation de la convention STE 108 et de son protocole additionnel dans l’objectif de mieux répondre aux défis que représentent la globalisation, les évolutions technologiques et l’augmentation des flux transfrontières des données pour la protection de la sphère privée et des droits fondamentaux des personnes concernées. Sous présidence suisse, le Comité consultatif de la convention STE 108 a élaboré un projet de modernisation de la convention (ci-après « P-STE 108 »). Les travaux du Comité ad hoc établi par le Comité des Ministres se sont terminés en juin 2016. Le protocole d’amendement de la convention STE 108 devrait être adopté par le Comité des Ministres début 2017 (voir ci-après ch. 3.2). Le présent rapport se base sur le projet de modernisation en l’état en septembre³⁰, qui ne devrait plus subir de modifications substantielles.

Le P-STE 108 a un contenu très semblable à celui de la directive (UE) 2016/680 et du règlement (UE) 2016/679. Il est toutefois moins détaillé et moins dense. La Commission euro-

28 RS 0.235.1

29 RS 0.235.11