Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

partielle pour le Canada, dans la mesure où une législation de protection spécifique pour le secteur privé ne permettait de reconnaître un niveau de protection adéquat qu’à ce secteur¹⁴. Jusqu’en juillet 2020, il en allait de même pour les Etats-Unis, en raison du Privacy Shield CH-US qui permettait le transfert libre des données uniquement vers les entreprises qui s’étaient engagées à respecter les principes contraignants du bouclier de protection¹⁵.

D’autres secteurs particuliers tels que le secteur financier, le secteur des assurances ou le secteur d’activité de la sous-traitance des traitements de données peuvent également être mentionnés¹⁶. La notion d’organisme international était précisée dans le message relatif à la loi sur la protection des données. Il s’agit de « toute institution internationale, que ce soit une organisation ou une juridiction » (FF 2017 6565, 6657)¹⁷.

Pour décider qu’un Etat (ou un territoire ou un secteur déterminé) ou qu’un organisme international assure un niveau de protection adéquat, les critères suivants doivent notamment être pris en compte (art. 8, al. 1 P-OLPD) :

− les engagements internationaux de l’Etat ou de l’organisme international en matière de protection des données personnelles (al. 1, let. a) ;

− le respect des droits humains (al. 1, let. b) ;

− la législation applicable en matière de protection des données, de même que sa mise en œuvre et la jurisprudence y relative (al. 1, let. c) ;

Ces trois premiers aspects impliquent notamment de tenir compte de l’état de droit, du respect des droits humains et des libertés fondamentales, de la législation pertinente de l’Etat, tant générale que spéciale, y compris en ce qui concerne la sécurité publique, la défense, la sécurité nationale et le droit pénal ainsi que l’accès des autorités publiques aux données personnelles.

− la garantie effective des droits des personnes concernées et des voies de droit (al. 1,

let. d) ;

Il ne s’agit pas ici de seulement vérifier si les personnes ont des droits prévus dans une base légale, mais bien de s’assurer que ces droits sont effectivement mis en œuvre.

− le fonctionnement effectif d’une ou de plusieurs autorités indépendantes chargées de la protection des données dans l’Etat concerné, ou auxquelles un organisme international est soumis, et disposant de pouvoirs et de compétences suffisants. Dans ce sens, les exigences minimales de la Convention 108+ doivent être remplies (al. 1, let. e).

Par ailleurs, le Conseil fédéral peut aussi tenir compte de l’existence d’une évaluation relative au niveau de protection effectuée soit par une autorité étrangère chargée de la protection