Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

L’adoption de nouvelles restrictions légales reste possible, pour autant que le principe

d’égalité soit respecté.

8.3.1.4 Art. 349d

Cette disposition met en œuvre les art. 35 à 38 de la directive (UE) 2016/680 qui obligent les Etats Schengen à prévoir que des données personnelles ne peuvent être transférées à un Etat tiers ou à un organisme international que si certaines conditions cumulatives sont remplies.

L’art. 349d s’inspire de la systématique et du contenu des art. 5 et 6 AP-LPD, sous réserve de certaines modifications liées aux exigences des art. 35 à 38 de la directive (UE)

2016/680.

Al. 1

L’al. 1 pose le principe selon lequel aucune donnée ne peut être communiquée à l’autorité compétente d’un Etat qui n’est pas lié à la Suisse par l’un des accords d’association à

Schengen (Etat tiers) ou à un organisme international si la personnalité des personnes concernées devait s’en trouver gravement menacée, notamment du fait de l’absence d’un niveau de protection adéquat. Cette disposition vise uniquement les pays qui ne sont pas liés par un des accords d’association à Schengen.

Al. 2

L’al. 2 définit les cas dans lesquels il y a lieu de considérer que l’Etat tiers ou l’organisme international assure un niveau de protection des données adéquat. Il s’agit d’une liste exhaustive de conditions alternatives. Si l’une de ces conditions est réalisée, il n’existe plus d’obstacle lié à la protection des données pour communiquer des données à un Etat tiers ou à un organisme international.

En vertu de l’al. 2, let. a, la législation d’un Etat tiers assure un « niveau de protection des données adéquat » lorsque la Commission l’a constaté par voie de décision conformément à l’art. 36 de la directive (UE) 2016/680. L’al. 2, let. a se distingue de l’art. 5, al. 2 AP-LPD qui charge le Conseil fédéral d’examiner si l’Etat concerné assure un niveau de protection adéquat. Si une autorité envisage de communiquer des données à un Etat tiers dans le cadre de la coopération policière et judiciaire instaurée par Schengen, elle doit se référer aux décisions d’adéquation de la Commission. Dans les autres domaines, le responsable du traitement se base sur la constatation du Conseil fédéral. Cette différence de régime ne conduit pas en principe à une situation d’insécurité juridique puisque aujourd’hui déjà le préposé publie une liste des Etats assurant un niveau de protection des données qui correspond essentiellement aux décisions d’adéquation rendues par la Commission.

L’al. 2, let. b et c prévoit deux autres cas dans lesquels l’autorité compétente peut considérer que la transmission ne menace pas gravement la personnalité des personnes concernées. Ainsi, une communication de données est licite si le niveau de protection des données est assuré soit par un traité international (let. a) soit par des garanties spécifiques (let. b). L’al. 2, let. b correspond à la condition prévue à l’art. 5, al. 3, let. a, AP-LPD. Par « traité international », on entend non seulement les accords internationaux conclus avec un Etat tiers ou un organisme international dans le domaine de la coopération policière et qui répond aux exigences de la directive (UE) 2016/680 mais aussi toute convention internationale en matière de protection des données à laquelle l’Etat destinataire serait partie, par exemple la convention STE 108 et son protocole additionnel¹⁴⁴. Quant à l’al. 2, let. c, il correspond à la condition de l’art. 5, al.3, let. b, AP-LPD. En vertu de cette disposition, l’autorité compétente peut envisager de communiquer des données à un Etat tiers ou à un organisme international lorsque ce dernier fournit des garanties spécifiques, qui assurent une protection adéquate de la personne concernée.

Al. 3

Conformément à l’al. 3, l’autorité fédérale compétente doit communiquer au préposé les catégories de communications de données personnelles qui ont été effectuées conformément