Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

de temps, aucune donnée ne peut être transmise à l’étranger. La décision du préposé est susceptible de recours.

Si les règles d’entreprise contraignantes ont été approuvées par une autorité chargée de la protection des données à l’étranger (al. 3, let. d, ch. 2), l’entreprise établie en Suisse doit les communiquer au préposé de telle manière que ce dernier puisse effectuer ses tâches de surveillance (al. 6). Ces dispositions répondent au besoin des groupes d’entreprises situées dans différents pays.

Les instruments visés à l’al. 3, let. d doivent être « contraignants » en ce sens que toutes les sociétés faisant partie d’un même groupe d’entreprises sont tenues de les respecter et de les appliquer. Ces normes doivent préciser les transferts de données, les catégories de données transférées, la finalité, les catégories de personnes et les pays de destination : elles doivent en outre régler les droits des personnes concernées ; ces normes doivent enfin préciser les mécanismes mises en place au sein du groupe d’entreprises pour garantir le contrôle du respect de ces normes. Le cas échéant, le Conseil fédéral définira dans le cadre de

l’ordonnance d’exécution les critères que doivent remplir les règles d’entreprises contraignantes.

Al. 7 : Publication de la liste

La liste du Conseil fédéral est publiée (al. 7). Il conviendra de préciser dans la future

d’ordonnance d’exécution qu’elle devra être mise à jour régulièrement. En d’autres termes, le Conseil fédéral devra régulièrement évaluer si les législations des Etats figurant sur cette liste. La violation de l’art. 5 est sanctionnée pénalement (art. 50, al. 2, let. b et 51, al. 1, let. a AP-LPD).

8.1.2.3 Art. 6 Communication exceptionnelle de données personnelles à l’étranger

Al. 1

A l’instar du droit en vigueur (art. 6, al. 2, LPD), l’art. 6, al. 1 règle les cas dans lesquels des données peuvent être communiquées à l’étranger, en dépit de l’absence d’un niveau de protection adéquat à l’étranger. Il correspond en substance à l’art. 12 par. 4 du P-STE 108 et à l’art. 49 du règlement (UE) 2016/679. La directive (UE) 2016/680 prévoit une réglementation analogue à l’art. 38.

La let. a correspond à l’art. 6, al. 2, let. b, LPD. Le consentement de la personne concernée est valable si les conditions de l’art. 4, al. 6 AP-LPD sont respectées. Celle-ci doit en particulier être informée sur les risques du transfert.

La let. b correspond à l’art. 6, al. 2, let. c, LPD.

La let. c, ch. 1 correspond à l’art. 6, al. 2, let. d, 1^èrephrase LPD. Par « sauvegarde d’intérêt public prépondérant » on entend par exemple la sécurité intérieure de la Suisse ou d’un Etat tiers. En vertu de cette disposition, des données personnelles peuvent également être transmises à l’étranger dans le cadre d’actions humanitaires, par exemple lorsqu’il s’agit pour le responsable du traitement de transmettre des données aux fins de recherche des personnes disparues dans une zone de conflit ou dans une région qui a subi une catastrophe naturelle.

La let. c correspond à l’art. 6, al. 2, let. d, LPD sous réserve que le terme « en justice » qui est jugé trop étroit, est remplacé par « devant une autorité judiciaire ou administrative ».

La let. d précise que la communication peut être nécessaire non seulement pour protéger la vie ou l’intégrité corporelle de la personne concernée mais aussi d’un tiers, pour autant toutefois qu’il ne soit pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable soit en raison d’une incapacité physique de sa part soit parce qu’elle n’est pas joignable par exemple par des moyens usuels de communication.

La let. e correspond à l’art. 6, al. 2, let. f, LPD.

La let. f est une nouvelle disposition. En raison de l’abrogation de l’art. 2, al. 2, let. d, LPD concernant les registres publics relatifs aux rapports juridiques de droit privé, il est nécessaire de préciser que l’exigence d’un niveau de protection adéquat n’est pas applicable lors-