Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

1.7.5 Les aspects pratiques de l’exécution

Pour limiter les coûts liés à la révision, une majorité des professionnels interrogés recommande que l’on permette aux entreprises de se conformer aux obligations d’information de façon standardisée. Cela pourrait selon eux s’effectuer par exemple au moyen d’explications relatives au droit de la protection des données, ou par la pose de pictogrammes, sur le site Internet ou dans les conditions générales. En cas d’obligations d’information «individualisées», les professionnels s’attendent à des coûts considérables.

Dans un objectif de sécurité juridique et de transparence, l’AP devrait faire usage de concepts clairement définis (définitions légales) et désigner précisément les faits qui font naître une obligation. Il faudrait indiquer, par exemple, dans quels cas il convient de réaliser une analyse d’impact du traitement. Pour améliorer la prise de conscience concernant les problèmes posés par la protection des données et faciliter la mise en œuvre de la loi, on signale la nécessité d’une communication ciblée (par ex. avec des notices, brochures, guides) et le développement de recommandations de bonnes pratiques: ces mesures pourraient en particulier profiter aux entreprises peu exposées au droit de la protection des données. L’idée de créer une commission d’experts indépendante est dans ce contexte accueillie favorablement par la majorité des experts.

2 Directive (UE) 2016/680

2.1 Présentation de la directive (UE) 2016/680

2.1.1 Déroulement des négociations

Les délibérations des Etats membres de l’Union européenne et des quatre Etats associés à l’espace Schengen (la Norvège, l’Islande, la Suisse et le Liechtenstein dans le cadre de leurs droits de participation) ont eu lieu au sein des groupes de travail du Conseil de l’Union européenne (comités mixtes) compétents en la matière, au cours des années 2012 à 2015, sous la présidence de l’Union européenne. Des représentants de la Confédération et des cantons ont participé aux travaux d’élaboration de la directive (UE) 2016/680, dans le cadre de ces comités mixtes. Le 27 avril 2016, le Parlement européen et le Conseil de l’Union européenne ont formellement adopté la directive (UE) 2016/680.

2.1.2 Aperçu

La directive (UE) 2016/680 vise à protéger les données à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Cet acte a pour objectif de garantir un niveau élevé de protection des données des personnes physiques tout en facilitant l’échange de ces données entre les autorités compétentes des différents Etats Schengen. Contrairement à la décision-cadre 2008/977/JAI, la directive(UE) 2016/680 s’applique aussi bien aux traitements transfrontières de données qu’aux traitements effectués par les autorités policières et judiciaires au niveau strictement national. Son texte est aligné sur celui du règlement (UE) 2016/679 (voir ci-après ch. 4) pour que, dans les grandes lignes, les mêmes principes généraux s’appliquent. Certains aménagements sont toutefois prévus afin de trouver un juste équilibre entre le droit de la personne concernée à la protection de sa sphère privée et les besoins des autorités pénales. Les principales innovations sont présentées ciaprès.

La directive (UE) 2016/680 introduit une obligation d’établir une distinction entre les différentes catégories de personnes concernées (art. 6) ainsi que des règles sur la distinction des données et la vérification de la qualité de celles-ci. L’art. 8 règle la licéité du traitement. Les traitements doivent en substance reposer sur une base légale. D’autres motifs justificatifs, par exemple le consentement de la personne concernée, ne sont pas applicables pour les traitements tombant dans le champ d’application de la directive (UE) 2016/680. L’art. 11 pose le principe selon lequel toute décision fondée exclusivement sur un traitement automatisé est interdite, à moins qu’elle ne soit autorisée par la législation nationale et que le droit