Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

important pour que le préposé puisse exercer son pouvoir de surveillance, et il se justifie donc d’incriminer sa violation. Le règlement (UE) 2016/679 prévoit des sanctions (art. 83, par. 4, let. a).

Al. 2

L’art. 50, al. 2, let. a punit la personne privée qui ne communique pas les garanties spécifiques, notamment contractuelles (art. 5, al. 3, let. b AP-LPD) ou les règles d’entreprises contraignantes (art. 5, al. 3, let. d, ch. 2 et 6 AP-LPD) au préposé, ou qui ne lui annonce pas qu’elle recourt à des garanties standardisées (art. 5, al. 3, let. c, al. 2 et 6 AP-LPD). L’AP-LPD correspond partiellement à l’actuel art. 34, al. 2, let. a LPD en l’adaptant aux nouveaux devoirs en cas de communication transfrontière. La let. b sanctionne le fait de ne pas communiquer pour approbation au préposé les règles standardisées selon l’art. 5, al. 3, let. c, ch. 1 et les règles d’entreprises contraignantes selon l’art. 5, al. 3, let. d, ch. 1 AP-LPD. Il s’agit d’une nouveauté, dans la mesure où ces obligations ne sont pas prévues dans le droit actuel. Le règlement (UE) 2016/679 prévoit, en cas de violation des règles sur le transfert de données à l’étranger, une amende administrative pouvant s'élever à 20 000 000 EUR ou, dans le cas d'une entreprise, à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent (art. 83, al. 5, let. c).

La let. c correspond à l’actuel art. 34, al. 1, al. 2, let. b LPD, « l’établissement des faits »

ayant été remplacé par « l’enquête ».

La let. d sanctionne le non-respect de la nouvelle obligation de communiquer au préposé les violations de la protection des données (art. 17, al. 1 AP-LPD). Le Conseil fédéral estime qu’il s’agit là d’un devoir indispensable au préposé pour exercer son pouvoir de surveillance, dont la violation doit être punissable pénalement. Le règlement (UE) 2016/679 prévoit aussi la possibilité de sanctionner la violation de cette obligation (art. 83, par. 4, let. a).

La let. f punit quant à elle le fait de ne pas se conformer à une décision du préposé. Cette disposition est importante pour garantir que les mesures prises par le préposé soient suivies d’effet. Selon le Conseil fédéral, le recours à l’art. 292 CP n’est à cet égard pas suffisant, en raison du montant trop faible de l’amende. Le règlement (UE) 2016/679 prévoit aussi une possibilité de sanction pour ce comportement (art. 83, al. 4, let. e).

Al. 3

L’al. 3 let. a de l’AP-LPD sanctionne la violation du devoir d’informer les destinataires auxquels des données ont été communiquées de toute rectification, effacement, destruction,

violation de la protection des données ainsi que toute limitation du traitement (art. 19, let. b AP-LPD). L’al. 3 let. b punit quant à lui la violation du devoir d’informer le responsable du traitement de toute violation de la protection des données (art. 17, al. 4, AP-LPD). Le règlement (UE) 2016/679 prévoit la possibilité d’infliger une amende administrative pouvant s'élever jusqu'à 10 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent (art 83. par. 4, let. a).

Les comportements ci-dessus sont aussi punissables si l’auteur agit par négligence. Dans ce cas l’amende est au maximum de 250'000.-. Le règlement (UE) 2016/679 prévoit aussi ce cas de figure (art. 83 par. 2 let. b).

8.1.8.2 Art. 51 Violation des devoirs de diligence

Cette disposition est nouvelle. Elle découle principalement du fait que l’AP-LPD prévoit toute une série de nouvelles obligations qui ne sont pas couvertes par les dispositions pénales actuelles. Le Conseil fédéral estime qu’une protection efficace de la personnalité et des droits fondamentaux des personnes concernées ne peut se faire que moyennant le respect, par les responsables du traitement et les sous-traitants, de l’ensemble de leurs devoirs. En conséquence, et pour inciter ceux-ci à respecter la loi de manière globale, le Conseil fédéral propose de compléter le catalogue des infractions pénales de la loi. Il convient par ailleurs de souligner que le règlement (UE) 2016/679 prévoit la possibilité de sanctionner de tels comportements (art. 83 par. 4 let. a et 5 let. c) aussi en cas de négligence. Cette disposition, ne s’applique pas aux organes fédéraux vu les mesures disciplinaires existantes.