Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Le chapitre V du règlement (UE) 2016/679 règle le transfert de données vers des pays-tiers ou à des organisations internationales. La Commission européenne est chargée d'évaluer le niveau de protection assuré par un territoire ou un secteur de traitement dans un pays tiers (art. 45). Lorsque la Commission européenne n'a pas constaté par voie de décision le caractère adéquat du niveau de protection sur un territoire ou dans un secteur, le transfert de données peut néanmoins avoir lieu lorsque des garanties appropriées ont été fournies (art. 46), au moyen de règles d’entreprise contraignantes (art. 47) ou par dérogation dans des situations particulières (art. 49).

Le chapitre VI porte sur les autorités de contrôle indépendantes. Les Etats membres ont la faculté d’instituer une ou plusieurs autorités de contrôle chargées de surveiller l’application du règlement (UE) 679/2016 et, le cas échéant, également de la directive (UE) 2016/680.

Les exigences applicables au statut d’indépendance de l’autorité de contrôle sont identiques dans les deux actes. Chaque autorité de contrôle doit disposer de certains pouvoirs

d’enquête (art. 58 par. 1). Elle est habilitée à adopter les mesures correctrices prévues par le règlement (UE) 2016/679 (par. 2).

Le chapitre VII instaure des mécanismes visant à assurer une application cohérente de la législation en matière de protection des données dans l’ensemble de l’Union européenne. En particulier, dans des affaires transfrontières faisant intervenir plusieurs autorités de contrôle nationales, une décision de contrôle unique sera prise. Ce principe, connu sous le nom de « guichet unique », permet à une entreprise ayant des filiales dans plusieurs Etats membres de n’avoir à traiter qu’avec l’autorité de contrôle de l’Etat-membre dans lequel elle a son établissement principal. Cette autorité est désignée par le terme « autorité de contrôle chef de file » (art. 56). La coopération entre l’autorité de contrôle chef de file et les autorités de contrôle concernées est réglée à l’art. 60. Celles-ci s’efforceront de trouver un consensus sur le projet de décision de contrôle unique préparé par l’autorité de contrôle chef de file. Le chapitre VII prévoit également une assistance mutuelle entre autorités de contrôle (art. 61) ainsi que des opérations conjointes (art. 62).

Le chapitre VIII porte sur les voies de recours, la responsabilité et les sanctions. L’art. 77 prescrit que la personne concernée a le droit d’introduire une réclamation auprès de l’autorité de contrôle. En vertu de l’art. 78, la personne concernée a également le droit de former un recours juridictionnel effectif contre une décision de l’autorité de contrôle la concernant. L’art. 80 prévoit en outre un droit pour les personnes concernées de se faire représenter à certains conditions. L’art. 83 fixe le régime général applicable aux amendes administratives que l’autorité de contrôle est habilitée à prononcer.

Le chapitre IX contient un certain nombre de dispositions réglant des situations particulières de traitement, notamment par rapport à la liberté d'expression et d'information (art. 85), à l’accès du public aux documents officiels (art. 86), aux archives, à la recherche et aux statistiques (art. 89).

4.2 Rapprochement de la législation suisse

Au sein de l’Union européenne, le règlement (UE) 2016/679 remplacera la directive

95/46/CE. Il ne liera pas la Suisse. Cela ne signifie cependant pas qu’il sera sans effets dans les domaines où elle est considérée comme un Etat tiers. Le règlement (UE) 2016/679 sera ainsi notamment important dans le secteur privé. En effet, comme mentionné au ch. 1.2.2.2, la Suisse bénéficie actuellement dans ce domaine d’une décision de la Commission européenne⁵⁵ constatant qu’elle garantit un niveau adéquat de protection des données. Cette décision peut néanmoins être révisée en tout temps. La Suisse a donc intérêt à rapprocher sa législation des exigences européennes, si elle veut rester au bénéfice de cette décision. Les critères définis à l’article 45 du règlement (UE) 2016/679 sont à l’avenir déterminants pour juger du caractère adéquat de la protection offerte par la législation suisse. L’AP devrait permettre d’assurer un niveau de protection adéquat au sens du règlement.