Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Pour terminer, par souci de se rapprocher de la terminologie des textes européens, le terme de « correctes » est remplacé dans le texte français par celui d’ « exactes » ; en allemand et en italien la terminologie est déjà celle-ci. Il est aussi précisé que les données doivent être actuelles. Cela n’entraîne aucune modification matérielle, dans la mesure où aujourd’hui déjà, les données doivent être mises à jour et complétées autant que les circonstances le requièrent⁸⁹.

Al. 6 : Consentement

La première phrase prévoit que le consentement, lorsqu’il est exigé pour justifier un traitement de données, n’est valable que s’il est donné librement, clairement, et après que la personne a été dûment informée. Cette nouvelle formulation permet de se rapprocher de la terminologie du P-STE 108 (art. 5 par. 2), et du règlement (UE) 2016/679 (art. 4, ch. 11 et 6, ch. 1, let. a). Comme aujourd’hui, le consentement doit être donné pour un traitement précis ou une catégorie de traitements, et couvrir l’ensemble de ses finalités. Avec cette formulation, le consentement reste libre de toute règle de forme, et peut être donné par actes concluants pour autant qu’il soit clair. En revanche, la simple inaction de la personne concernée n’est pas constitutive de consentement.

Selon la seconde phrase de l’al. 6 AP-LPD, le consentement doit être exprès lorsque le traitement concerne des données sensibles ou consiste en du profilage. L’AP-LPD remplace ainsi, dans les versions française et italienne du texte, les termes de « explicite » et de « esplicito » s’agissant de la qualité du consentement concernant les données sensibles, par ceux de « exprès » et « espresso ». Cette modification permet de mettre fin aux controverses doctrinales concernant la qualité du consentement⁹⁰, et de remplir les exigences de la convention STE 108 (art. 5 al. 2). Le règlement (UE) 2016/679 prévoit une règle similaire (art. 4, ch. 11 et 6, ch. 1, let. a). Le consentement exprès doit résulter d'une déclaration écrite (y compris par voie électronique) ou orale, ou encore de signes. Cela pourrait se faire notamment en cochant une case ou en cliquant sur un bouton (par ex. « suivant ») sur un site Internet, en optant pour certains paramètres techniques pour des services de la société de l'information ou au moyen d'une autre déclaration.

8.1.2.2 Art. 5 Communication de données personnelles à l’étranger

Cette disposition correspond aux exigences de l’art. 12 du P-STE 108 qui pose le principe selon lequel des données ne peuvent être transmises à l’étranger que si un niveau approprié de protection des données est garanti (par. 2). Le par. 3 définit les cas dans lesquels cette condition est réalisée. L’art. 5 permet aussi de se rapprocher des exigences du droit de l’Union européenne (art. 45 et ss du règlement (UE) 2016/679).

Al. 1 : Principe

L’al. 1 reprend le même principe que celui fixé à l’art. 6, al. 1, LPD, en supprimant toutefois les termes « du fait de l’absence d’une législation assurant un niveau de protection adéquat ». Il s’agit d’une modification purement rédactionnelle, rendue nécessaire par le nouvel al. 2.

Al. 2 : Constatation de l’adéquation par le Conseil fédéral

En vertu de l’al. 2, des données peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que la législation de l’Etat concerné assure un niveau de protection adéquat.

Cette disposition attribue explicitement la compétence au Conseil fédéral d’examiner

l’adéquation de la législation étrangère en matière de protection des données.

La situation actuelle est insatisfaisante, car il incombe au maître du ficher qui envisage de communiquer des données de vérifier si la législation de l’Etat concerné assure un niveau de

⁸⁹MEIER PHILIPPE, Protection des données – Fondements, principes généraux et droit privé, Berne 2011, n° 753s. Voir aussi

FF 1988 421, 457