Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

traitement privé. Celui-ci a toutefois un intérêt à documenter cette autorisation, puisqu'il doit être en mesure de prouver son existence. L’art. 9, al. 3, nLPD prescrit que le sous-traitant ne peut lui-même sous-traiter un traitement qu’avec l’autorisation préalable du responsable du traitement. Comme il ressort du message du 15 septembre 2017¹³ (ch. 9.1.3.1,), le Conseil fédéral est chargé de préciser dans l’ordonnance que, dans le secteur public, l’autorisation doit être écrite conformément aux exigences de l’art. 22 par. 2 de la directive (UE) 2016/680. Cette disposition prescrit que les Etats Schengen sont tenus de prévoir que le sous-traitant ne peut pas recruter un autre sous-traitant sans l’autorisation écrite préalable du responsable du traitement. Il convient de rappeler que la forme écrite comprend la forme électronique.

Art. 7 Information du conseiller à la protection des données de l'organe fédéral

Cette disposition prévoit l’obligation, pour l’organe fédéral uniquement, d'informer le conseiller à la protection des données compétent de la conclusion d'un contrat avec un sous-traitant ou de l'autorisation de sous-traiter le traitement des données personnelles à un tiers. La soustraitance est en règle générale liée à des risques accrus pour la protection des données des personnes concernées. L'organe fédéral est également tenu d'informer le conseiller des problèmes rencontrés par rapport au respect des exigences légales ou contractuelles de protection des données personnelles.

4.1.3 Communications de données personnelles à l’étranger

Afin de suivre la systématique de la loi, les dispositions relatives aux communications de données personnelles à l’étranger sont intégrées dans le premier chapitre consacré aux dispositions générales. Plusieurs notions en lien avec les communications à l’étranger méritent d’être précisées. Le P-OLPD propose de le faire dans le cadre de cinq articles distincts : un premier article permet de concrétiser les critères à prendre en compte par le Conseil fédéral afin de définir si un Etat ou un organisme international garantit un niveau de protection adéquat ; un deuxième article prévoit de clarifier sur quoi doivent porter les clauses de protection des données d’un contrat et les garanties spécifiques assurant un niveau de protection approprié ; une troisième disposition traite des clauses types de protection des données ; un quatrième article se concentre sur les règles d’entreprise contraignantes. Enfin, sur la base de la compétence octroyée au Conseil fédéral par l’art. 16 al. 3 nLPD, une dernière disposition introduit d’autres garanties appropriées.

Art. 8 Evaluation du niveau de protection adéquat des données personnelles d’un Etat étranger ou d’un organisme international

Lorsque certains critères sont remplis, le Conseil fédéral peut décider qu’un Etat (ainsi qu’un territoire, un ou plusieurs secteurs déterminés dans un Etat) ou un organisme international garantit un niveau de protection adéquat.

Avant de détailler les facteurs dont devra tenir compte le Conseil fédéral pour rendre sa décision d’adéquation, il convient de préciser dans un premier temps ce qu’on entend par "territoire" ou "secteur déterminé". Il se peut en effet, en particulier dans le Etats fédéraux, que l’Etat fédéral ne dispose pas d’une législation assurant un niveau de protection adéquat, mais qu’un Etat fédéré soit en revanche doté d’un régime de protection des données adéquat valable sur son propre territoire. En ce qui concerne la notion de "secteur particulier", on peut par exemple citer la reconnaissance, par la Commission européenne, d’une adéquation