La nouvelle mouture de la loi sur la protection des donn\u00e9es (LPD) oblige les responsables priv\u00e9s du traitement des donn\u00e9es \u00e0 informer les personnes concern\u00e9es du traitement de leurs donn\u00e9es, en particulier quand elles sont transmises \u00e0 des tiers ou \u00e0 l\u2019\u00e9tranger. Les organismes publics ne sont toutefois soumis \u00e0 aucune obligation d\u2019information comparable. Il n\u2019existe pas non plus de r\u00e9glementation l\u00e9gale concernant la divulgation a posteriori des acc\u00e8s \u00e0 des donn\u00e9es num\u00e9riques par l\u2019\u00c9tat. M\u00eame lorsqu\u2019une mesure de surveillance est termin\u00e9e ou se r\u00e9v\u00e8le infond\u00e9e, les personnes concern\u00e9es n\u2019en sont pas inform\u00e9es. Face \u00e0 cette situation, je prie le Conseil f\u00e9d\u00e9ral de bien vouloir r\u00e9pondre aux questions suivantes :
1./4./6. Aux termes de l\u2019art. 19, al. 1, de la loi f\u00e9d\u00e9rale du 25 septembre 2020 sur la protection des donn\u00e9es (LPD ; SR 235.1), le responsable d\u2019un traitement de donn\u00e9es est tenu d\u2019informer la personne concern\u00e9e de mani\u00e8re ad\u00e9quate de la collecte de donn\u00e9es personnelles. Le but de cette disposition est d\u2019accro\u00eetre la transparence du traitement de donn\u00e9es. Ce devoir d\u2019informer n\u2019incombe pas qu\u2019aux personnes priv\u00e9es, mais aussi aux organes f\u00e9d\u00e9raux. L\u2019art. 20, al. 1, let. a et b, LPD pr\u00e9voit des exceptions au devoir d\u2019informer lorsque la personne concern\u00e9e dispose d\u00e9j\u00e0 des informations ou lorsque le traitement des donn\u00e9es personnelles est pr\u00e9vu par la loi. \u00c9tant donn\u00e9 que les organes f\u00e9d\u00e9raux ne sont le plus souvent autoris\u00e9s \u00e0 traiter des donn\u00e9es que si une base l\u00e9gale les y habilite (art. 34, al. 1, LPD), ils ne sont soumis \u00e0 un devoir d\u2019informer suppl\u00e9mentaire dans quasiment aucun des traitements de donn\u00e9es qu\u2019ils op\u00e8rent. Ils ne sont tenus d\u2019informer au sens de l\u2019art. 19 LPD que si le traitement rel\u00e8ve, exceptionnellement, de l\u2019art. 34, al. 4, LPD et requiert en particulier le consentement de la personne concern\u00e9e. Pour le Conseil f\u00e9d\u00e9ral, cette solution est pertinente, car la base l\u00e9gale garantit la n\u00e9cessaire transparence du traitement de donn\u00e9es. Par cons\u00e9quent, le Conseil f\u00e9d\u00e9ral ne voit pas d\u2019asym\u00e9trie notable entre les obligations des organes f\u00e9d\u00e9raux et celles des responsables priv\u00e9s du traitement des donn\u00e9es, d\u2019autant que ces derniers s\u2019acquittent en majorit\u00e9 de leur devoir d\u2019informer en publiant des d\u00e9clarations de protection des donn\u00e9es standardis\u00e9es sur leurs sites internet. En cas de traitement de donn\u00e9es par des autorit\u00e9s cantonales ou communales, ce sont les garanties pr\u00e9vues dans la l\u00e9gislation cantonale en mati\u00e8re de protection des donn\u00e9es qui s\u2019appliquent.
En outre, des lois sp\u00e9ciales pr\u00e9voient des devoirs d\u2019informer sp\u00e9cifiques pour diff\u00e9rentes mesures d\u2019acc\u00e8s \u00e0 des donn\u00e9es par les autorit\u00e9s, susceptibles d\u2019entra\u00eener des atteintes graves aux droits fondamentaux. C\u2019est par exemple le cas pour des mesures de contrainte pr\u00e9vues dans le code de proc\u00e9dure p\u00e9nale, comme lors d\u2019une mesure de surveillance de la correspondance par poste et t\u00e9l\u00e9communication (art. 279 du code de proc\u00e9dure p\u00e9nale [CPP] ; RS 312.0), d\u2019une mesure d\u2019observation (art. 283 CPP) ou d\u2019investigations ou recherches secr\u00e8tes (art. 298 et 298d, al. 4 CPP) : les personnes sont en principe inform\u00e9es une fois la mesure termin\u00e9e. L\u2019art. 95, al. 2, premi\u00e8re phrase, CPP dispose de mani\u00e8re g\u00e9n\u00e9rale que la personne doit \u00eatre inform\u00e9e sans d\u00e9lai si des donn\u00e9es personnelles sont collect\u00e9es \u00e0 son insu. Pour les mesures de recherche soumises \u00e0 autorisation du Service de renseignement de la Conf\u00e9d\u00e9ration (SRC), telles que, l\u00e0 aussi, la surveillance de la correspondance par poste et t\u00e9l\u00e9communication, l\u2019utilisation d\u2019appareils de localisation ou de surveillance ou encore l\u2019infiltration dans des syst\u00e8mes et des r\u00e9seaux informatiques, une obligation d\u2019informer la personne s\u2019applique \u00e0 la fin de l\u2019op\u00e9ration (art. 33 de la loi f\u00e9d\u00e9rale sur le renseignement [LRens] ; RS 121). La Suisse veille donc \u00e0 une transparence renforc\u00e9e \u00e9galement lors de traitements sensibles de donn\u00e9es par des acteurs \u00e9tatiques.
2. Chaque ann\u00e9e, des acteurs \u00e9tatiques f\u00e9d\u00e9raux, cantonaux et communaux collectent des donn\u00e9es personnelles n\u00e9cessaires \u00e0 l\u2019accomplissement de leurs t\u00e2ches. Le Conseil f\u00e9d\u00e9ral n\u2019a pas connaissance d\u2019une statistique qui recenserait les cas o\u00f9 s\u2019applique le devoir d\u2019informer \u00e0 la suite de mesures \u00e9tatiques de collecte de donn\u00e9es. Le traitement de donn\u00e9es par des autorit\u00e9s publiques se fonde sur des bases l\u00e9gales qui garantissent la transparence quant \u00e0 l\u2019autorit\u00e9 responsable du traitement, \u00e0 la finalit\u00e9 du traitement et aux destinataires des donn\u00e9es en cas de communication \u00e0 des tiers. Des d\u00e9rogations ne sont possibles qu\u2019exceptionnellement (voir en particulier l\u2019art. 34, al. 4, LPD).
3./8. Les \u00c9tats membres de l\u2019UE sont tenus de respecter notamment le r\u00e8glement (UE) 2016/679 (R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es, RGPD) et la directive (UE) 2016/680 qui concerne la protection des donn\u00e9es dans le secteur r\u00e9pressif, qui est aussi contraignante pour la Suisse en tant qu\u2019\u00c9tat associ\u00e9 \u00e0 Schengen. Ces deux textes imposent aussi aux autorit\u00e9s un devoir d\u2019informer en cas de collecte et/ou de traitement de donn\u00e9es personnelles, mais ils pr\u00e9voient \u00e9galement la possibilit\u00e9 pour les \u00c9tats membres d\u2019adopter des limitations pour des motifs d\u2019int\u00e9r\u00eat public (art. 23 RGPD ; art. 13 directive (UE) 2016/680). Il semble que, de mani\u00e8re g\u00e9n\u00e9rale, la plupart des \u00c9tats membres pr\u00e9voient de telles limitations, notamment dans le domaine r\u00e9pressif (voir notamment le Premier rapport sur l\u2019application et le fonctionnement de la directive (UE) 2016/680 en mati\u00e8re de protection des donn\u00e9es dans le domaine r\u00e9pressif ; COM/2022/364 final, p. 18).
Les obligations du responsable du traitement, respectivement du sous-traitant, en mati\u00e8re d\u2019annonce des violations de la s\u00e9curit\u00e9 des donn\u00e9es et d\u2019information pr\u00e9vues par la LPD s\u2019appliquent, comme dans l\u2019UE, tant aux priv\u00e9s qu\u2019aux organes f\u00e9d\u00e9raux (art. 24 LPD).
5./7. Comme expos\u00e9 ci-dessus, le droit suisse impose dans divers cas des obligations d\u2019informer de la collecte de donn\u00e9es personnelles non seulement aux acteurs priv\u00e9s, mais aussi aux organes f\u00e9d\u00e9raux et autres services publics, afin de garantir la transparence du traitement des donn\u00e9es. Des adaptations l\u00e9gislatives ne sont d\u00e8s lors pas n\u00e9cessaires en l\u2019\u00e9tat actuel aux yeux du Conseil f\u00e9d\u00e9ral.
Le Conseil f\u00e9d\u00e9ral estime en outre qu\u2019une protection juridique suffisante contre les traitements de donn\u00e9es non transparents et une surveillance ind\u00e9pendante de la protection des donn\u00e9es sont garanties : une violation du principe de transparence, qui est le principe essentiel de tout traitement (art. 6, al. 3, LPD), ou un traitement de donn\u00e9es sans base l\u00e9gale peut constituer un traitement illicite de donn\u00e9es par un organe f\u00e9d\u00e9ral. En vertu de l\u2019art. 41 LPD, la personne concern\u00e9e peut faire valoir en pareil cas une s\u00e9rie de pr\u00e9tentions \u00e0 l\u2019\u00e9gard de l\u2019organe f\u00e9d\u00e9ral responsable, comme demander qu\u2019il s\u2019abstienne de proc\u00e9der \u00e0 un traitement illicite, qu\u2019il supprime les effets d\u2019un traitement illicite ou qu\u2019il rectifie les donn\u00e9es personnelles, les efface ou les d\u00e9truise. Lorsque le traitement s\u2019inscrit dans une mesure de contrainte ordonn\u00e9e dans une proc\u00e9dure p\u00e9nale, la personne dont les donn\u00e9es ont fait l\u2019objet d\u2019un traitement peut former un recours conform\u00e9ment aux art. 393 ss CPP. Le recours contre une d\u00e9cision du SRC est r\u00e9gi par les dispositions de l\u2019art. 83 LRens.
Si des indices suffisants font penser qu\u2019un traitement de donn\u00e9es effectu\u00e9 par un organe f\u00e9d\u00e9ral pourrait \u00eatre contraire \u00e0 des dispositions de protection des donn\u00e9es, le Pr\u00e9pos\u00e9 f\u00e9d\u00e9ral \u00e0 la protection des donn\u00e9es et \u00e0 la transparence (PFPDT) ouvre une enqu\u00eate d\u2019office ou sur d\u00e9nonciation (art. 49, al. 1, LPD). S\u2019il constate une violation des dispositions de protection des donn\u00e9es, le PFPDT peut ordonner la modification, la suspension ou la cessation de tout ou partie du traitement ainsi que l\u2019effacement ou la destruction de tout ou partie des donn\u00e9es personnelles (art. 51, al. 1, LPD). Il peut notamment ordonner \u00e0 l\u2019organe f\u00e9d\u00e9ral d\u2019informer les personnes concern\u00e9es conform\u00e9ment \u00e0 l\u2019art. 19 LPD (art. 51, al. 3, let. c, LPD). La surveillance de traitements effectu\u00e9s par des autorit\u00e9s cantonales ou communales est du ressort des services cantonaux comp\u00e9tents pour la protection des donn\u00e9es.
","FederalCouncilProposal":null,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1771372800000)\/","SubmittedBy":"Marti Min Li","BusinessStatus":203,"BusinessStatusText":"L\u2019avis relatif \u00e0 l\u2019intervention est disponible","BusinessStatusDate":"\/Date(1771445621607)\/","ResponsibleDepartment":5,"ResponsibleDepartmentName":"D\u00e9partement de justice et police","ResponsibleDepartmentAbbreviation":"DFJP","IsLeadingDepartment":true,"Tags":"4|9|12|1236","Category":null,"Modified":"\/Date(1774972208930)\/","SubmissionDate":"\/Date(1766016000000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Conseil national","SubmissionCouncilAbbreviation":"CN","SubmissionSession":5211,"SubmissionLegislativePeriod":52,"FirstCouncil1":1,"FirstCouncil1Name":"Conseil national","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politique d'Etat|Politique de s\u00e9curit\u00e9|Droit|Droits de l'homme"}}