Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

8.1.6 Dispositions particulières pour le traitement de données par les organes fédé-

raux

8.1.6.1 Art. 26 Organe responsable et contrôle

Par rapport à l’art. 16 LPD, l’art. 26 subit quelques modifications. A l’al. 1 supprime pour des raisons rédactionnelles « dans l’accomplissement de ses tâches ».

L’al. 2 supprime les termes « de manière spécifique » pour les mêmes motifs. Il prévoit en outre une obligation pour le Conseil fédéral, et non plus seulement une faculté, de régler les procédures de contrôle et les responsabilités en matière de protection des données lorsqu’un organe fédéral traite des données conjointement avec d’autres autorités ou des personnes privées. Cette modification met en œuvre l’art. 21 de la directive (UE) 2016/680.

L’art. 26 du règlement (UE) 2016/679 prévoit une réglementation analogue.

8.1.6.2 Art. 27 Bases légales

Pour donner suite aux critiques de la doctrine par rapport à l’articulation entre les exceptions prévues à l’art. 17, al. 2, LPD et celles énumérées à l’art. 19, al. 2, LPD, l’AP-LPD prévoit de régler le niveau de la base légale pour les traitements de données sensibles, des profilages ou la prise d’une décision individuelle automatisée à l’al. 2 et d’autre part d’énumérer les exceptions relatives à l’exigence d’une base légale (al. 3).

Al. 1 : Base légale

Cette disposition reprend le principe qui figure à l’actuel art. 17, al. 1, LPD, selon lequel les organes fédéraux ne sont en droit de traiter des données personnelles que s’il existe une base légale.

Al. 2 : Base légale dans une loi au sens formel

L’al. 2 précise que la base légale doit être prévue dans une loi au sens formel s’il s’agit de traitements de données sensibles, de profilage ou d’une prise de décision individuelle automatisée au sens de l’art. 15, al. 1 AP-LPD. Toutefois, une base légale au sens matériel suffit si deux conditions cumulatives sont remplies. La première (let. a) prescrit que le traitement doit être indispensable à l’accomplissement d’une tâche clairement définie dans une loi au sens formel. Pour que cette condition soit applicable, il faut que le législateur concrétise de manière précise au niveau de la loi la nature des tâches qui nécessiteront des traitements de données personnelles. La seconde condition (al. 2, let. b) est nouvelle. Elle présente

l’avantage de limiter de manière plus précise la portée de la seconde phrase de l’al. 2, que ne le fait l’art. 17, al. 2, let. a, LPD. En effet, cette disposition ne s’applique qu’à titre exceptionnel, ce qui laisse toujours une marge d’interprétation pour déterminer les cas exceptionnels de ceux qui ne le sont pas.

Al. 3 : Exceptions

Cette disposition prévoit des exceptions à l’exigence d’une base légale au sens des al. 1 et

2. Ainsi, un organe fédéral peut exceptionnellement traiter dans un cas d’espèce et sans base légale des données personnelles si l’une des conditions prévues aux let. a à c est réalisée. La let. a vise une décision du Conseil fédéral autorisant un organe fédéral à traiter dans un cas d’espèce des données personnelles sans base légale. Cette décision n’est pas susceptible de recours. En vertu de la let. b, les organes fédéraux peuvent également traiter des données si la personne concernée a donné son consentement au sens de l’art. 4, al. 6, AP-LPD ou si elle a rendu ses données personnelles à tout un chacun et ne s’est pas opposée expressément au traitement. La let. c constitue une nouvelle exception qui n’est pas prévue à l’art. 17, al. 2, LPD. Elle correspond à l’art. 10 let. b de la directive (UE) 2016/680 et à l’art. 6 par. 1 let. d du règlement (UE) 2016/679. En vertu de cette disposition, les organes fédéraux peuvent traiter exceptionnellement des données personnelles si le traitement est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers et s’il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable.