Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

objectifs annoncés par le Conseil fédéral dans sa décision du 9 décembre 2011 sur la base des résultats de l’évaluation de la LPD⁵⁴.

En ce qui concerne la procédure de ratification de la future convention STE 108, l’art. 4 oblige chaque Etat-partie à prendre, dans son droit interne, les mesures nécessaires pour donner effet aux dispositions de cet acte. Ces mesures doivent de plus entrer en vigueur au moment de la ratification ou de l’adhésion à la future convention STE 108. Les Etats parties n’ont pas la faculté de formuler des réserves (art. 25).

Le contenu de l’AP est pleinement conforme aux exigences du protocole d’amendement, de sorte que, le moment venu, une ratification de ce protocole sera possible sans nouvelle modification de la législation suisse.

3.3 Principales modifications législatives nécessaires

Les dispositions du P-STE 108 ne sont pas directement applicables. En vue de ratifier le protocole d’amendement de cet acte, la Suisse doit adapter certaines dispositions de droit fédéral. Les dispositions du projet de modernisation qui doivent être transposées dans l’AP-LPD sont indiquées dans le commentaire des dispositions de cet acte.

4 Règlement (UE) 2016/679 sur la protection des données à caractère personnel

4.1 Aperçu

Le règlement (UE) 2016/679, est le texte fondamental en matière de protection des données au niveau de l’Union européenne. La directive (UE) 2016/680 s’en inspire largement, au point que les deux textes contiennent un régime très analogue. Le règlement est cependant plus détaillé, et la directive contient des particularités propres au domaine pénal. Le règlement (UE) 2016/679 ne fait pas partie de l’acquis de Schengen.

Le règlement (UE) 2016/679 règle principalement la protection des données traitées dans le cadre du marché intérieur, mais s'applique aussi au secteur public. Il établit les règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et des règles relatives à la libre circulation de ces données (art. 1).

Le chapitre III règle les droits des personnes concernées. Par rapport à la directive

95/46/CE, ces droits sont renforcés. Ainsi, le règlement (UE) 2016/679 garantit aux personnes concernées un meilleur accès aux données (art. 12 à 15). Cet acte leur confère en outre un droit à la rectification (art. 16), un droit à l’effacement (art. 17) également appelé « droit à l’oubli », ainsi qu’un droit à la limitation du traitement (art. 18). Les personnes concernées disposent également d’un droit à la portabilité des données d’un prestataire de services à un autre (art. 20). Enfin, celles-ci ont le droit de s’opposer à un traitement notamment à des fins de profilage (art. 21) et à ne pas faire l’objet d’une décision individuelle automatisée (art. 22).

Le chapitre IV règle les obligations du responsable du traitement et du sous-traitant. Il introduit le principe de protection des données dès la conception et par défaut (art. 25). Il définit les conditions applicables à la sous-traitance (art. 28 et 29). Les responsables du traitement ont également l'obligation, dans certains cas, de notifier les violations de données à caractère personnel à l’autorité de contrôle et à la personne concernée (art. 33 et 34). Les responsables du traitement sont tenus d’effectuer une analyse d’impact relative à la protection des données préalablement à certains traitements (art. 35) et de consulter le cas échéant

l’autorité de contrôle (art. 36). En outre, les pouvoirs publics et les entreprises qui effectuent des traitements de données présentant des risques doivent désigner un délégué à la protection des données (art. 37 à 39). Enfin, les Etats membres de l’Union européenne doivent encourager l’élaboration de codes de conduite destinés à contribuer à la bonne application du règlement (UE) 2016/679 (art. 40 et 41) et mettre en place des mécanismes de certification en matière de protection des données (art. 42 et 43).