Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Comme cela ressort de la terminologie, la notion de « garanties spécifiques » vise un cas « spécifique » de communication de données à l’étranger, et non des communications effectuées sous une forme standardisée. Dans le secteur privé, il peut s’agir de clauses contractuelles convenues dans le cadre d’un contrat entre le responsable du traitement et le destinataire. Dans le secteur public, l’organe fédéral peut, lorsqu’il accorde sa coopération à un Etat étranger, lui fixer des conditions à respecter en matière de protection des données.

Contrairement aux garanties standardisées (voir let. c), les garanties spécifiques ne valent que pour les communications prévues dans ledit contrat. Si le responsable du traitement envisage une nouvelle communication de données, il doit en principe fixer de nouvelles garanties.

Al. 3, let. c : Garanties standardisées

En vertu de l’al. 3, let. c, des données peuvent être communiquées à l’étranger moyennant des garanties standardisées. Ces garanties peuvent être élaborées soit par les personnes privées ou les milieux intéressés (ch. 1) soit établies ou reconnues par le préposé (ch. 2). Les organes fédéraux peuvent également recourir à ce type de garanties. La notion de « garanties standardisées » peut viser par exemple des clauses contractuelles standardisées insérées dans le contrat conclu entre le responsable et le destinataire. Il peut également s’agir d’un code de conduite élaboré par le secteur privé auxquelles les personnes privées peuvent se soumettre volontairement.

Dans le cas prévu à l’al. 3, let. c, ch. 1, les garanties doivent préalablement avoir été approuvées par le préposé. Cette condition constitue un renforcement du droit en vigueur qui prévoit uniquement une obligation d’informer le préposé (art. 6, al. 3, LPD). Elle correspond à l’exigence prévue à l’art. 12^bispar. 2 let. b du P-STE 108. Le préposé dispose d’un délai de six mois pour communiquer au responsable du traitement s’il approuve ou non les garanties élaborées (al. 5, 1^èrephrase). Ce délai commence à courir à partir du moment où le préposé a reçu un dossier complet, c’est-à-dire toutes les informations nécessaires pour se prononcer sur la validité des garanties standardisées annoncées. Il s’agit d’un délai d’ordre ; en cas de non-respect, les règles sur le déni de justice sont applicables. Le responsable du traitement ne peut pas communiquer des données à l’étranger avant d’avoir obtenu une décision du préposé susceptible de recours (art. 5 PA).

En vertu de l’al. 3, let. c, ch. 2, le responsable du traitement peut également recourir aux garanties standardisées établies ou reconnues par le préposé, par exemple des contratsmodèles ou des clauses standards, et doit l’en informer (al. 6). Dès qu’il a exécuté son devoir d’information, il est en droit de communiquer des données à l’étranger. Le responsable du traitement qui décide de communiquer des données à l’étranger moyennant des garanties standardisées au sens de l’al. 3, let. c, est présumé avoir pris toutes les mesures nécessaires pour s’assurer un niveau de protection adéquat. Toutefois, cette présomption ne le libère pas de toute responsabilité pour les préjudices qui pourraient résulter de la violation de ces garanties notamment par le destinataire des données. Il convient de prévoir dans

l’ordonnance une obligation pour le préposé de publier une liste des garanties standardisées établies ou reconnues, comme le prévoit du reste le droit en vigueur (art. 6, al. 3, OLPD).

Al. 2, let. d : Règles d’entreprises contraignantes

En vertu de l’al. 3, let. d, des données peuvent être communiquées à l’étranger moyennant des règles d’entreprise contraignantes qui ont été préalablement approuvées par le préposé (ch. 1) ou par une autorité chargée de la protection des données à l’étranger (ch. 2). Cette disposition remplace l’art. 6, al. 2, let. g, LPD. L’al. 2, let. d se rapproche du droit de l’Union européenne qui prévoit, à l’art. 47 du règlement (UE) 2016/679, que des données peuvent être communiquées entre les entités d’un groupe d’entreprises moyennant des règles

d’entreprise contraignantes préalablement approuvées par l’autorité de contrôle de protection des données. L’approbation des règles d’entreprises est prévue à l’art. 57, par. 1 let. s du règlement (UE) 2016/679. L’al. 3, let. d constitue un renforcement du droit en vigueur dans la mesure où les règles d’entreprise contraignantes doivent être approuvées. Le préposé dispose d’un délai de six mois pour communiquer à la société concernée s’il approuve ou non les règles d’entreprise contraignantes qui lui ont été soumises (al. 5). Pendant ce laps