Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

protection adéquat⁹¹. Il peut se référer le cas échéant, à la liste établie par le préposé qui énumère les Etats qui remplissent cette exigence (art. 7 OLPD)⁹². Afin de garantir une application uniforme de l’al. 2, le niveau de protection de la législation d’un Etat étranger est dorénavant examiné par le Conseil fédéral. Celui-ci établit une liste des Etats disposant d’une législation assurant un niveau de protection adéquat (al. 7). Dans le cadre de son examen, le Conseil fédéral doit non seulement examiner si l’Etat étranger dispose d’une législation remplissant en substance les standards du P-STE 108 mais aussi comment cette législation est mise en œuvre. Le résultat de cet examen est publié sous la forme d’une ordonnance du Conseil fédéral, qui est publiée au Recueil officiel. Cette ordonnance est conçue comme une liste « positive » des Etats ayant adopté une législation assurant un niveau de protection adéquat. Si un Etat étranger ne figure pas sur la liste du Conseil fédéral, cela peut signifier deux choses : soit celui-ci n’a pas encore évalué la législation de ce pays, soit il est arrivé à la conclusion que la loi nationale ne remplit les exigences pour qu’il puisse constater un niveau de protection adéquat. Avec la révision, la liste du Conseil fédéral devient un critère légal pour les responsables du traitement, alors que selon le droit en vigueur la liste du préposé est conçue comme un moyen auxiliaire mis à la disposition des maîtres du fichier qui envisagent de communiquer des données à l’étranger.

Lorsque le Conseil fédéral a constaté que la législation d’un Etat offre un niveau de protection adéquat, la libre circulation des données personnelles de la Suisse vers cet Etat est garantie tant pour le secteur privé que pour le secteur public.

Al. 3 : Absence de décision du Conseil fédéral

En l’absence d’une décision du Conseil fédéral au sens de l’al. 2, l’al. 3, let. a à d prévoit que des données personnelles peuvent être communiquées à l’étranger, si un niveau « approprié » de protection des données personnelles est garanti. A l’instar du droit de l’Union européenne, l’AP-LPD recourt à deux termes différents aux al. 2 et 3. Le terme « adéquat » est réservé pour qualifier la législation de l’Etat étranger.

En vertu de la let. a, le niveau de protection approprié peut être assuré par un traité international. Par « traité international », on entend non seulement une convention internationale en matière de protection des données à laquelle l’Etat destinataire serait partie, telle que la convention STE 108 et son protocole additionnel, mais aussi tout autre accord international qui prévoit un échange de données entre Etats parties et qui répond en substance aux exigences de la convention STE 108. Il peut également s’agir d’un traité international conclu par le Conseil fédéral en vertu de l’art. 56, let. b AP-LPD.

L’al. 3, let. b et c correspond aux exigences de l’art. 12 par. 3 let. b du P-STE 108 qui prescrit qu’un niveau de protection des données approprié peut être assuré par des garanties ad hoc et standardisées agrées, établis par des instruments juridiquement contraignants et opposables, conclus et mis en œuvre par les personnels impliquées dans le transfert et le traitement ultérieur des données. Le règlement (UE) 2016/679 prévoit une réglementation analogue à l’art. 46. Il en va de même pour la directive (UE) 2016/680 (art. 37).

Al. 3, let. b : Garanties spécifiques

En vertu de l’al. 3 let. b, des données peuvent être transférées à l’étranger si des garanties assurent dans un cas particulier une protection des données appropriée, et si ces dernières ont été préalablement communiquées au préposé. Si le préposé a des objections, il en informe le responsable du traitement ou le sous-traitant dans un délai de 30 jours à compter de la réception des garanties (al. 4). L’OLPD prévoit le même délai à l’art. 6, al. 5. A défaut d’objections ou passé ce délai, le responsable du traitement est en droit de communiquer des données à l’étranger. Comme c’est déjà le cas aujourd’hui, il incombe au responsable du traitement de démontrer qu’il a pris toutes les mesures requises pour s’assurer d’un niveau de protection approprié et que le destinataire respecte les garanties. Il reste également responsable du préjudice qui pourrait résulter d’une violation des garanties prévues.