Révi­sion de la loi sur la pro­tec­tion des don­nées: pour une régle­men­ta­tion adé­quate sans dur­cis­se­ments inutiles

Révi­ser un pro­jet aussi com­plexe que la loi sur la pro­tec­tion des don­nées n’est pas facile. D'un côté la Suisse doit accom­pa­gner l'évo­lu­tion en cours dans l'UE et trou­ver des solu­tions intel­li­gentes qui tiennent compte de nos par­ti­cu­la­ri­tés sans impo­ser de contraintes inutiles à notre éco­no­mie. De l’autre, l'UE exa­mine la légis­la­tion hel­vé­tique en matière de pro­tec­tion des don­nées afin de s'as­su­rer de sa bonne «adé­qua­tion». Cela sou­met les débats à des contraintes de temps. Dans ces cir­cons­tances, le Conseil des Etats ne devrait pas aller à l’en­contre de la bonne approche sui­vie par le Conseil natio­nal. Cer­tains points impor­tants appellent tou­te­fois des cor­rec­tifs.

UNE LOI A LA FOIS ADMI­NIS­TRA­TI­VE­MENT SUP­POR­TABLE ET ÉQUI­VA­LENTE, SANS SWISS FINISH

Dans le cadre des déve­lop­pe­ments inter­na­tio­naux, il est essen­tiel pour l’éco­no­mie de dis­po­ser d’une loi admi­nis­tra­ti­ve­ment sup­por­table. Le Conseil des Etats ne devrait intro­duire aucune dis­po­si­tion qui ne soit pas indis­pen­sable sous l’angle de l’adé­qua­tion et qui n’ap­porte pas de «valeur ajou­tée» pour les per­sonnes concer­nées. Il devrait éga­le­ment s'abs­te­nir de tout zèle nor­ma­tif par rap­port à l'UE (un Swiss finish). A cet égard, le Conseil natio­nal a fait un très bon tra­vail pré­pa­ra­toire.

INUTILE DUR­CIS­SE­MENT AU CONSEIL DES ETATS

Mais voici que la com­mis­sion ad hoc du Conseil des Etats vient com­pli­quer le pro­jet, inuti­le­ment et sans rai­son appa­rente, par des ajouts que le plé­num devrait s’em­ployer à cor­ri­ger.

Les points cri­tiques concernent sur­tout le pro­fi­lage. La Com­mis­sion des Etats intro­duit une nou­velle dis­tinc­tion entre «pro­fi­lage» et «pro­fi­lage à risque élevé». Or, le Règle­ment géné­ral sur la pro­tec­tion des don­nées (RGPD) de l’UE ne connaît pas cette dis­tinc­tion, ce qui en ferait une par­ti­cu­la­rité suisse. Il y aurait éga­le­ment «pro­fi­lage à risque élevé» en cas «d’ap­pa­rie­ment [et trai­te­ment] sys­té­ma­tique de don­nées» si un «cou­plage ou un trai­te­ment sys­té­ma­tique de diverses don­nées à carac­tère per­son­nel » est effec­tué. Mais dans la pra­tique, ces élé­ments consti­tuent typi­que­ment du pro­fi­lage, rai­son pour laquelle une situa­tion de «pro­fi­lage à risque élevé» exis­te­rait tou­jours. Les entre­prises de notre pays subi­raient de ce fait des désa­van­tages consi­dé­rables en com­pa­rai­son inter­na­tio­nale.

Une autre nou­veauté pro­po­sée par une majo­rité de la Com­mis­sion du Conseil des Etats est que toute divul­ga­tion de don­nées per­son­nelles à des tiers consti­tue une atteinte à la per­son­na­lité et requiert tou­jours, de ce fait, le consen­te­ment expli­cite de la per­sonne concer­née. La Com­mis­sion des Etats a repris ce concept du RGPD, mais avec une appli­ca­tion com­plè­te­ment dif­fé­rente qui sou­lè­ve­rait des pro­blèmes sys­té­miques fon­da­men­taux en droit suisse de la pro­tec­tion des don­nées, et qu’il convient dès lors de refu­ser.

La Com­mis­sion des Etats a éga­le­ment pris des déci­sions dis­cu­tables sur d'autres points. Par exemple, elle étouffe toute inci­ta­tion pour les entre­prises à nom­mer un conseiller interne en pro­tec­tion des don­nées. Elle exige une exten­sion inutile des obli­ga­tions d'in­for­ma­tion (entre autres, dans le cas d'une inten­tion de trai­ter des don­nées per­son­nelles en vue d’éva­luer la sol­va­bi­lité de la per­sonne concer­née) et main­tient une for­mu­la­tion trop vague pour les flux de don­nées de l’étran­ger. Le droit d'in­for­ma­tion concer­nant les déci­sions en matière d’exa­men de sol­va­bi­lité a éga­le­ment été étendu. Or rien de tout cela n'est néces­saire pour obte­nir une déci­sion d’équi­va­lence de la part de l'UE.

UN DÉVE­LOP­PE­MENT POSI­TIF: LE MES­SAGE DE RATI­FI­CA­TION DE LA CONVEN­TION DU PAR­LE­MENT EURO­PÉEN SUR LA PRO­TEC­TION DES DON­NÉES

Sous l’angle d'un rap­pro­che­ment avec les déve­lop­pe­ments inter­na­tio­naux et d'une affir­ma­tion claire en faveur d'une régle­men­ta­tion suisse appro­priée en matière de pro­tec­tion des don­nées, eco­no­mie­suisse se féli­cite de l'adop­tion par le Conseil fédé­ral, le 6 décembre 2019, du mes­sage pour la rati­fi­ca­tion de la conven­tion STE 108. Ce pas per­met aussi à la Suisse d'être consi­dé­rée par l’UE comme un État-tiers étant régle­men­tée de manière adé­quate.