Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

décision au sens de l’art. 5 de la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)²¹ dans le délai prévu par l’art. 4 de l’ordonnance du 25 mai 2011 sur les principes et les délais d’ordre relatifs aux procédures d’autorisation (OdelO)²² et publie, sur son site internet, une liste des clauses types de protection des données qu’il a approuvées, établies ou reconnues.

Art. 11 Règles d’entreprise contraignantes

Les règles d’entreprise contraignantes s’appliquent à toutes les entreprises appartenant à un même groupe et doivent être respectées par celles-ci. Ces règles doivent non seulement porter sur les points mentionnés à l’art. 9, al. 1, P-OLPD, mais aussi sur la structure et les coordonnées du groupe d’entreprise et de chacune de ses entités, ainsi que sur les mécanismes mis en place au sein des groupes d’entreprises pour garantir que ces règles d’entreprises soient effectivement respectées.

Ces règles d’entreprise contraignantes doivent, conformément à l’art. 16, al. 2, let. e, nLPD, être soumises au PFPDT qui rend une décision au sens de l’art. 5 PA dans le délai prévu par l’art. 4 OdelO.

Art. 12 Codes de conduite et certifications

Comme l’indique l’art. 16, al. 3, nLPD, le Conseil fédéral peut prévoir d’autres garanties appropriées permettant de communiquer des données à l’étranger. Peuvent ainsi assurer un niveau de protection approprié, un code de conduite ou une certification (al. 1).

Cette nouvelle mesure permet d’inciter les entreprises à adopter de tels codes ou à faire certifier leurs systèmes, produits ou services. Par souci de cohérence avec les clauses-types de protection des données et les règles d’entreprise contraignantes qui doivent être approuvées par le PFPDT, il en va de même pour ces codes de conduite (al. 2). Il convient en effet de faire vérifier la solidité de ces instruments. Les codes de conduite doivent au moins porter sur les mêmes points que ceux exigés pour les clauses de protection des données d’un contrat et les garanties spécifiques. Un renvoi est donc fait vers l’art. 9, al. 1, P-OLPD. L’approbation des codes de conduite par le PFPDT n’entre pas en contradiction avec l’art. 11 nLPD qui prévoit que, de manière générale, le PFPDT prend position sur les codes de conduite qui lui sont soumis (et ne les approuve pas). Dans le cas précis où un responsable du traitement entend se prévaloir de son code de conduite pour communiquer des données personnelles à l’étranger, il est cohérent, par rapport aux clauses types de protection des données et aux règles d’entreprises contraignantes, que le PFPDT approuve cet instrument. Conformément à l’ordonnance du 28 septembre 2007 sur les certifications en matière de protection des données²³, seules les certifications étrangères doivent être reconnues par le PFPDT. Cela n’empêche cependant pas que la certification doive être conforme aux exigence de l’Ordonnance sur les certifications en matière de protection des données.

De surcroît, le responsable du traitement ou le sous-traitant qui se situe dans un pays tiers doit prendre l’engagement contraignant et exécutoire d’appliquer les mesures contenues dans les codes de conduite ou les certifications (al. 3).

21 RS 172.021

22 RS 172.010.14