Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

qu’il s’agit de communiquer à l’étranger des données provenant d’un registre public prévu par la loi si certaines conditions légales sont remplies. L’art. 49 par. 1 let. g du règlement (UE) 2016/679 va dans le même sens en disposant qu’en l’absence d’un niveau de protection adéquat un transfert de données au départ d’un registre est licite s’il est destiné, conformément au droit de l’Union européenne ou de l’Etat-membre, à fournir des informations au public pour autant que certaines conditions légales soient remplies.

Al. 2

L’al. 2 prévoit que une obligation pour le responsable du traitement ou le sous-traitant de communiquer au préposé les communications de données personnelles effectuées en vertu de l’al. 1, let. b, c et d. Cette disposition vise aussi bien le secteur privé que le secteur public. Elle met en œuvre l’exigence prévue à l’art. 12 par. 5 du P-STE 108.

La violation de l’art. 6 est poursuivie sur plainte en vertu de l’art. 51, al. 1, let. a AP-LPD.

8.1.2.4 Art. 7 Sous-traitance

Les al. 1, 2, et 4 introduisent des modifications terminologiques, rendues nécessaires par les nouvelles définitions (sous-traitant, responsable du traitement).

L’al. 2 est complété en ce sens que le responsable du traitement doit s’assurer que le soustraitant est en mesure de garantir non seulement la sécurité des données, mais aussi les droits de la personne concernée. Cette extension est exigée par la directive (UE) 2016/680 (art. 22 par. 1). Le Conseil fédéral estime qu’une transposition uniquement sectorielle dans les domaines Schengen ne fait pas de sens ceci d’autant plus que le règlement (UE)

2016/679 (art. 28 par. 1) prévoit la même chose. Le Conseil fédéral peut préciser, par voie d’ordonnance, les autres obligations du sous-traitant.

L’al. 3 est nouveau et prévoit que le sous-traitant ne peut lui-même sous-traiter un traitement qu’avec l’accord écrit préalable du responsable du traitement. Il peut s’agir d’un accord général. Dans ce cas le sous-traitant informe le responsable du traitement de tout changement (ajout ou remplacement d'autres sous-traitants) lui permettant ainsi d’émettre des objections à l'encontre de ces changements. Il s’agit là d’une exigence de la directive (UE) 2016/680, pour les domaines Schengen (art. 22 par. 2). Le règlement (UE) 2016/679 prévoit une règle similaire (art. 28 par. 2). Le Conseil fédéral a fait le choix de l’appliquer à tous les cas de sous-traitance, ce qui permet de renforcer la transparence des traitements ainsi que la maîtrise des personnes concernées sur leurs données. Par ailleurs, le responsable du traitement est tenu d’informer la personne concernée lorsqu’un traitement est confié à un sous-traitant, et doit lui communiquer les données ou catégories de données personnelles concernées (art. 13, al. 4, AP-LPD).

8.1.2.5 Art. 8 Elaboration de recommandations de bonnes pratiques

Le caractère général et technologiquement neutre des règles de la LPD est susceptible d’entraîner, dans le secteur privé surtout, une grande incertitude quant aux comportements à adopter, pour les responsables du traitement et les sous-traitants, mais aussi pour les personnes concernées. Le Conseil fédéral estime qu’il est impératif de disposer de règles plus concises et dynamiques pour concrétiser la loi. Il propose dès lors de formaliser l’élaboration et l’adoption de recommandations de bonnes pratiques. Ces dernières permettent d’avoir des solutions plus précises dans des secteurs qui suscitent aujourd’hui de nombreuses questions tels que la vidéosurveillance, le Cloud-computing ou les réseaux sociaux, de préciser certaines notions, tels que le risque accru (art. 16 AP-LPD), les modalités de certains droits tel que le droit d’être consulté en cas de décision individuelle automatisée (art. 15 et 20, al. 3 AP-LPD), ou les modalités de certains devoirs tels que le devoir d’information (art. 13 et 14 AP-LPD) et le devoir d’effectuer une analyse d’impact du traitement (art. 16 AP-LPD). Les recommandations peuvent être édictées à l’attention du secteur privé, mais aussi à l’attention du secteur public.

L’élaboration de codes de conduite et la promotion de l’autorégulation par les Etats mais aussi par l’autorité de contrôle sont aussi prévues par le règlement (UE) 2016/679, à ses art. 40 et 57 par. 1 (let. m).