FF 2020 7639 | Loi fédérale sur la protection des données (LPD)

2020-2930 7397 Délai référendaire: 14 janvier 2021

Loi fédérale sur la protection des données (LPD)

du 25 septembre 2020

L’Assemblée fédérale de la Confédération suisse,

vu les art. 95, al. 1, 97, al. 1, 122, al. 1, et 173, al. 2, de la Constitution

vu le message du Conseil fédéral du 15 septembre 2017

arrête:

Chapitre 1

But, champ d’application et autorité fédérale de surveillance

Art. 1 But

La présente loi vise à protéger la personnalité et les droits fondamentaux des per-

sonnes physiques dont les données personnelles font l’objet d’un traitement.

Art. 2 Champ d’application à raison de la personne et de la matière

La présente loi régit le traitement de données personnelles concernant des per-

sonnes physiques effectué par:

des personnes privées;
des organes fédéraux.

Elle ne s’applique pas:

a. aux traitements de données personnelles effectués par une personne phy-

sique pour un usage exclusivement personnel;

b. aux traitements de données personnelles effectués par les Chambres fédé-

rales et les commissions parlementaires dans le cadre de leurs délibérations;

RS ... 1 RS 101 2 FF 2017 6565

Protection des données. LF FF 2020 7398 c. aux traitements de données personnelles effectués par les bénéficiaires insti- tutionnels au sens de l’art. 2, al. 1, de la loi du 22 juin 2007 sur l’État hôte 3

qui jouissent en Suisse de l’immunité de juridiction.

Les traitements de données personnelles effectués dans le cadre de procédures

devant des tribunaux ou dans le cadre de procédures régies par des dispositions

fédérales de procédure, ainsi que les droits des personnes concernées, obéissent au

droit de procédure applicable. La présente loi s’applique aux procédures administra-

tives de première instance.

Les registres publics relatifs aux rapports de droit privé, notamment l’accès à ces

registres et les droits des personnes concernées, sont régis par les dispositions spé-

ciales du droit fédéral applicable. À défaut la présente loi s’applique.

Art. 3 Champ d’application territorial

La présente loi s’applique aux états de fait qui déploient des effets en Suisse, même

s’ils se sont produits à l’étranger.

Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987

sur le droit international privé

. Sont également réservées les dispositions régissant

le champ d’application territorial du code pénal

Art. 4 Préposé fédéral à la protection des données et à la transparence

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est

chargé de surveiller la bonne application des dispositions fédérales de protection des

données.

Il ne peut exercer aucune surveillance sur:

l’Assemblée fédérale;
le Conseil fédéral;
les tribunaux fédéraux;
le Ministère public de la Confédération, en ce qui concerne le traitement de

données personnelles dans le cadre de procédures pénales;

e. les autorités fédérales, en ce qui concerne le traitement de données person-

nelles dans le cadre de leurs activités juridictionnelles ou dans le cadre de

procédures d’entraide judiciaire internationale en matière pénale.

3 RS 192.12 4 RS 291 5 RS 311.0

Protection des données. LF FF 2020 7399 Chapitre 2 Dispositions générales Section 1 Définitions et principaux généraux Art. 5 Définitions On entend par: a. données personnelles: toutes les informations concernant une personne phy- sique identifiée ou identifiable; b. personne concernée: la personne physique dont les données personnelles font l’objet d’un traitement; c. données personnelles sensibles (données sensibles):

les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
les données sur la santé, la sphère intime ou l’origine raciale ou eth- nique,
les données génétiques,
les données biométriques identifiant une personne physique de manière univoque,
les données sur des poursuites ou sanctions pénales et administratives,
les données sur des mesures d’aide sociale; d. traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistre- ment, la conservation, l’utilisation, la modification, la communication, l’ar- chivage, l’effacement ou la destruction de données; e. communication: le fait de transmettre des données personnelles ou de les rendre accessibles; f. profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels re- latifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la san- té, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique; g. profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu’il conduit à un appariement de données qui permet d’apprécier les carac- téristiques essentielles de la personnalité d’une personne physique; h. violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur mo- dification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données; i. organe fédéral: l’autorité fédérale, le service fédéral ou la personne chargée d’une tâche publique de la Confédération;

Protection des données. LF FF 2020 7400 j. responsable du traitement: la personne privée ou l’organe fédéral qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du trai- tement de données personnelles; k. sous-traitant: la personne privée ou l’organe fédéral qui traite des données personnelles pour le compte du responsable du traitement. Art. 6 Principes 1 Tout traitement de données personnelles doit être licite. 2 Il doit être conforme aux principes de la bonne foi et de la proportionnalité. 3 Les données personnelles ne peuvent être collectées que pour des finalités détermi- nées et reconnaissables pour la personne concernée et doivent être traitées ultérieu- rement de manière compatible avec ces finalités. 4 Elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement. 5 Celui qui traite des données personnelles doit s’assurer qu’elles sont exactes. Il prend toute mesure appropriée permettant de rectifier, d’effacer ou de détruire les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées. Le caractère approprié de la mesure dépend notamment du type de traitement et de son étendue, ainsi que du risque que le traitement des don- nées en question présente pour la personnalité ou les droits fondamentaux des per- sonnes concernées. 6 Lorsque le consentement de la personne concernée est requis, celle-ci ne consent valablement que si elle exprime librement sa volonté concernant un ou plusieurs traitements déterminés et après avoir été dûment informée. 7 Le consentement doit être exprès dans les cas suivants: a. il s’agit d’un traitement de données sensibles; b. il s’agit d’un profilage à risque élevé effectué par une personne privée; c. il s’agit d’un profilage effectué par un organe fédéral. Art. 7 Protection des données dès la conception et par défaut 1 Le responsable du traitement est tenu de mettre en place des mesures techniques et organisationnelles afin que le traitement respecte les prescriptions de protection des données, en particulier les principes fixés à l’art. 6. Il le fait dès la conception du traitement. 2 Les mesures techniques et organisationnelles doivent être appropriées au regard notamment de l’état de la technique, du type de traitement et de son étendue, ainsi que du risque que le traitement des données présente pour la personnalité ou les droits fondamentaux des personnes concernées. 3 Le responsable du traitement est tenu de garantir, par le biais de préréglages appropriés, que le traitement des données personnelles soit limité au minimum

Protection des données. LF FF 2020 7401 requis par la finalité poursuivie, pour autant que la personne concernée n’en dispose pas autrement. Art. 8 Sécurité des données 1 Les responsables du traitement et les sous-traitants doivent assurer, par des me- sures organisationnelles et techniques appropriées, une sécurité adéquate des don- nées personnelles par rapport au risque encouru. 2 Les mesures doivent permettre d’éviter toute violation de la sécurité des données. 3 Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données. Art. 9 Sous-traitance 1 Le traitement de données personnelles peut être confié à un sous-traitant pour au- tant qu’un contrat ou la loi le prévoie et que les conditions suivantes soient réunies: a. seuls sont effectués les traitements que le responsable du traitement serait en droit d’effectuer lui-même; b. aucune obligation légale ou contractuelle de garder le secret ne l’interdit. 2 Le responsable du traitement doit en particulier s’assurer que le sous-traitant est en mesure de garantir la sécurité des données. 3 Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec l’autorisation préalable du responsable du traitement. 4 Il peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. Art. 10 Conseiller à la protection des données 1 Les responsables du traitement privés peuvent nommer un conseiller à la protection des données. 2 Le conseiller à la protection des données est l’interlocuteur des personnes concer- nées et des autorités chargées de la protection des données en Suisse. Il a notamment les tâches suivantes: a. former et conseiller le responsable du traitement privé dans le domaine de la protection des données; b. concourir à l’application des prescriptions relatives à la protection des don- nées. 3 Les responsables du traitement privés peuvent se prévaloir de l’exception prévue à l’art. 23, al. 4, lorsque les conditions suivantes sont réunies: a. le conseiller à la protection des données exerce sa fonction de manière indé- pendante par rapport au responsable du traitement et sans recevoir d’in- struction de celui-ci; b. il n’exerce pas de tâches incompatibles avec ses tâches de conseiller à la pro- tection des données;

Protection des données. LF FF 2020

7402

il dispose des connaissances professionnelles nécessaires;
le responsable du traitement publie les coordonnées du conseiller à la protec-

tion des données et les communique au PFPDT.

Le Conseil fédéral règle la désignation de conseillers à la protection des données

par les organes fédéraux.

Art. 11 Codes de conduite

Les associations professionnelles, sectorielles et économiques, lorsqu’elles sont

autorisées de par leurs statuts à défendre les intérêts économiques de leurs membres,

de même que les organes fédéraux, peuvent soumettre leur code de conduite au

PFPDT.

Le PFPDT prend position sur les codes de conduite et publie ses prises de position.

Art. 12 Registre des activités de traitement

Les responsables du traitement et les sous-traitants tiennent chacun un registre de

leurs activités de traitement.

Le registre du responsable du traitement contient au moins les indications suivantes:

a. l’identité du responsable du traitement;

b. la finalité du traitement;

c. une description des catégories de personnes concernées et des catégories de

données personnelles traitées;

d. les catégories de destinataires;

e. dans la mesure du possible, le délai de conservation des données person-

nelles ou les critères pour déterminer la durée de conservation;

f. dans la mesure du possible, une description générale des mesures visant à

garantir la sécurité des données selon l’art. 8;

g. en cas de communication de données personnelles à l’étranger, le nom de

l’État concerné et les garanties prévues à l’art. 16, al. 2.

Le registre du sous-traitant contient des indications concernant l’identité du sous-

traitant et du responsable du traitement, les catégories de traitements effectués pour le

compte du responsable du traitement ainsi que les indications prévues à l’al. 2, let. f et g.

Les organes fédéraux déclarent leur registre d’activités de traitement au PFPDT.

5 Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées. Art. 13 Certification 1 Les fournisseurs de systèmes ou de logiciels de traitement de données personnelles ainsi que les responsables du traitement et les sous-traitants peuvent soumettre leurs

Protection des données. LF FF 2020 7403 systèmes, leurs produits ou leurs services à une évaluation effectuée par des orga- nismes de certification agréés et indépendants. 2 Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l’introduction d’un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international.

Section 2 Traitements de données personnelles par des responsables du traitement privés ayant leur siège ou leur domicile à l’étranger Art. 14 Représentant 1 Le responsable du traitement privé qui a son siège ou son domicile à l’étranger désigne un représentant en Suisse lorsqu’il traite des données personnelles concer- nant des personnes en Suisse et que ce traitement remplit les conditions suivantes: a. le traitement est en rapport avec l’offre de biens ou de services ou le suivi du comportement de personnes en Suisse; b. il s’agit d’un traitement à grande échelle; c. il s’agit d’un traitement régulier; d. le traitement présente un risque élevé pour la personnalité des personnes concernées. 2 Le représentant est le point de contact pour les personnes concernées et le PFPDT. 3 Le responsable du traitement publie le nom et l’adresse de son représentant. Art. 15 Obligations du représentant 1 Le représentant tient un registre des activités de traitement du responsable du traitement qui contient les indications mentionnées à l’art. 12, al. 2. 2 Il fournit sur demande au PFPDT les indications contenues dans ce registre. 3 Il fournit sur demande à la personne concernée des renseignements concernant l’exercice de ses droits.

Section 3 Communication de données personnelles à l’étranger Art. 16 Principes 1 Des données personnelles peuvent être communiquées à l’étranger si le Conseil fédéral a constaté que l’État concerné dispose d’une législation assurant un niveau de protection adéquat ou qu’un organisme international garantit un niveau de protec- tion adéquat.

Protection des données. LF FF 2020

7404

En l’absence d’une décision du Conseil fédéral au sens de l’al. 1, des données per-

sonnelles peuvent être communiquées à l’étranger si un niveau de protection appro-

prié est garanti par:

un traité international;
les clauses de protection des données d’un contrat entre le responsable du

traitement ou le sous-traitant et son cocontractant, préalablement communi-

quées au PFPDT;

c. des garanties spécifiques élaborées par l’organe fédéral compétent et préala-

blement communiquées au PFPDT;

d. des clauses type de protection des données préalablement approuvées, éta-

blies ou reconnues par le PFPDT;

e. des règles d’entreprise contraignantes préalablement approuvées par le

PFPDT ou par une autorité chargée de la protection des données relevant

d’un État qui assure un niveau de protection adéquat.

Le Conseil fédéral peut prévoir d’autres garanties appropriées au sens de l’al. 2.

Art. 17 Dérogations

En dérogation à l’art. 16, al. 1 et 2, des données personnelles peuvent être commu-

niquées à l’étranger dans les cas suivants:

a. la personne concernée a expressément donné son consentement à la commu-

nication;

b. la communication est en relation directe avec la conclusion ou l’exécution

d’un contrat:

entre le responsable du traitement et la personne concernée, ou
entre le responsable du traitement et son cocontractant, dans l’intérêt de la personne concernée; c. la communication est nécessaire:
à la sauvegarde d’un intérêt public prépondérant, ou
à la constatation, à l’exercice ou à la défense d’un droit devant un tribu- nal ou une autre autorité étrangère compétente; d. la communication est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers et il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable; e. la personne concernée a rendu les données personnelles accessibles à tout un chacun et ne s’est pas opposée expressément au traitement; f. les données personnelles proviennent d’un registre prévu par la loi, acces- sible au public ou à toute personne justifiant d’un intérêt légitime, pour au- tant que les conditions légales pour la consultation dans le cas d’espèce soient remplies.

Protection des données. LF FF 2020 7405 2 Le responsable du traitement ou le sous-traitant informe, sur demande, le PFPDT des communications de données personnelles effectuées en vertu de l’al. 1, let. b, ch. 2, c et d. Art. 18 Publication de données personnelles sous forme électronique La publication de données personnelles au moyen de services d’information et de com- munication automatisés afin d’informer le public n’est pas assimilée à une communica- tion à l’étranger, même si ces données peuvent être consultées depuis l’étranger.

Chapitre 3

Obligations du responsable du traitement et du sous-traitant

Art. 19 Devoir d’informer lors de la collecte de données personnelles

Le responsable du traitement informe la personne concernée de manière adéquate de

la collecte de données personnelles, que celle-ci soit effectuée auprès d’elle ou non.

Lors de la collecte, il communique à la personne concernée les informations néces-

saires pour qu’elle puisse faire valoir ses droits selon la présente loi et pour que la

transparence des traitements soit garantie; il lui communique au moins:

l’identité et les coordonnées du responsable du traitement;
la finalité du traitement;
le cas échéant, les destinataires ou les catégories de destinataires auxquels

des données personnelles sont transmises.

Si les données personnelles ne sont pas collectées auprès de la personne concernée,

il communique en outre les catégories de données traitées à cette personne.

Lorsque des données personnelles sont communiquées à l’étranger, il communique

également à la personne concernée le nom de l’État ou de l’organisme international

auquel elles sont communiquées et, le cas échéant, les garanties prévues à l’art. 16,

al. 2, ou l’application d’une des exceptions prévues à l’art. 17.

Si les données personnelles ne sont pas collectées auprès de la personne concernée,

il communique à cette personne les informations mentionnées aux al. 2 à 4 au plus

tard un mois après qu’il a obtenu les données personnelles. S’il communique les

données personnelles avant l’échéance de ce délai, il en informe la personne concer-

née au plus tard lors de la communication.

Art. 20 Exceptions au devoir d’informer et restrictions

Le responsable du traitement est délié du devoir d’information au sens de l’art. 19

si l’une des conditions suivantes est remplie:

a. la personne concernée dispose déjà des informations correspondantes;

b. le traitement des données personnelles est prévu par la loi;

Protection des données. LF FF 2020 7406 c. le responsable du traitement est une personne privée et il est lié par une obli- gation légale de garder le secret; d. les conditions de l’art. 27 sont remplies. 2 Lorsque les données personnelles ne sont pas collectées auprès de la personne con- cernée, le devoir d’information ne s’applique pas non plus dans les cas suivants: a. l’information est impossible à donner; b. elle nécessite des efforts disproportionnés. 3 Le responsable du traitement peut restreindre ou différer la communication des informations, ou y renoncer, si l’une des conditions suivantes est remplie: a. les intérêts prépondérants d’un tiers l’exigent; b. l’information empêche le traitement d’atteindre son but; c. lorsque le responsable du traitement est une personne privée et que les con- ditions suivantes sont remplies:

ses intérêts prépondérants l’exigent,
il ne communique pas les données à un tiers; d. lorsque le responsable du traitement est un organe fédéral:
si un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l’exige, ou
si la communication des informations est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou adminis- trative. 4 Les entreprises appartenant au même groupe ne sont pas considérées comme des tiers au sens de l’al. 3, let. c, ch. 2. Art. 21 Devoir d’informer en cas de décision individuelle automatisée 1 Le responsable du traitement informe la personne concernée de toute décision qui est prise exclusivement sur la base d’un traitement de données personnelles automa- tisé et qui a des effets juridiques pour elle ou l’affecte de manière significa- tive (décision individuelle automatisée). 2 Si la personne concernée le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la décision individuelle automatisée soit revue par une personne physique. 3 Les al. 1 et 2 ne s’appliquent pas dans les cas suivants: a. la décision individuelle automatisée est en relation directe avec la conclusion ou l’exécution d’un contrat entre le responsable du traitement et la personne concernée et la demande de cette dernière est satisfaite; b. la personne concernée a expressément consenti à ce que la décision soit prise de manière automatisée. 4 Si la décision individuelle automatisée émane d’un organe fédéral, ce dernier doit la qualifier comme telle. L’al. 2 ne s’applique pas lorsque la personne concernée ne

Protection des données. LF FF 2020

7407

doit pas être entendue avant la décision conformément à l’art. 30, al. 2, de la loi

fédérale du 20 décembre 1968 sur la procédure administrative (PA)

ou en vertu

d’une autre loi fédérale.

Art. 22 Analyse d’impact relative à la protection des données personnelles

Lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour la

personnalité ou les droits fondamentaux de la personne concernée, le responsable du

traitement procède au préalable à une analyse d’impact relative à la protection des

données personnelles. S’il envisage d’effectuer plusieurs opérations de traitement

semblables, il peut établir une analyse d’impact commune.

L’existence d’un risque élevé, en particulier lors du recours à de nouvelles techno-

logies, dépend de la nature, de l’étendue, des circonstances et de la finalité du trai-

tement. Un tel risque existe notamment dans les cas suivants:

traitement de données sensibles à grande échelle;
surveillance systématique de grandes parties du domaine public.

L’analyse d’impact contient une description du traitement envisagé, une évaluation

des risques pour la personnalité ou les droits fondamentaux de la personne concer-

née, ainsi que les mesures prévues pour protéger sa personnalité et ses droits fonda-

mentaux.

Le responsable du traitement privé est délié de son obligation d’établir une analyse

d’impact s’il est tenu d’effectuer le traitement en vertu d’une obligation légale.

Le responsable du traitement privé peut renoncer à établir une analyse d’impact

lorsqu’il recourt à un système, un produit ou un service certifié conformément à

l’art. 13 pour l’utilisation prévue ou qu’il respecte un code de conduite au sens de

l’art. 11 remplissant les conditions suivantes:

a. il repose sur une analyse d’impact relative à la protection des données per-

sonnelles;

b. il prévoit des mesures pour protéger la personnalité et les droits fondamen-

taux de la personne concernée;

c. il a été soumis au PFPDT.

Art. 23 Consultation préalable du PFPDT

Le responsable du traitement consulte le PFPDT préalablement au traitement

lorsque l’analyse d’impact relative à la protection des données révèle que, malgré les

mesures prévues par le responsable du traitement, le traitement envisagé présente

encore un risque élevé pour la personnalité ou les droits fondamentaux de la per-

sonne concernée.

Le PFPDT communique au responsable du traitement ses objections concernant le

traitement envisagé dans un délai de deux mois. Ce délai peut être prolongé d’un

mois lorsqu’il s’agit d’un traitement de données complexe.

6 RS 172.021

Protection des données. LF FF 2020 7408 3 Si le PFPDT a des objections concernant le traitement envisagé, il propose au responsable du traitement des mesures appropriées. 4 Le responsable du traitement privé peut renoncer à consulter le PFPDT s’il a consulté son conseiller à la protection des données au sens de l’art. 10. Art. 24 Annonce des violations de la sécurité des données 1 Le responsable du traitement annonce dans les meilleurs délais au PFPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. 2 L’annonce doit indiquer au moins la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées. 3 Le sous-traitant annonce dans les meilleurs délais au responsable du traitement tout cas de violation de la sécurité des données. 4 Le responsable du traitement informe la personne concernée lorsque cela est néces- saire à sa protection ou lorsque le PFPDT l’exige. 5 Il peut restreindre l’information de la personne concernée, la différer ou y renon- cer, dans les cas suivants: a. il existe un motif au sens de l’art. 26, al. 1, let. b, ou 2, let. b, ou un devoir légal de garder le secret qui l’interdit; b. l’information est impossible à fournir ou exige des efforts disproportionnés; c. l’information de la personne concernée peut être garantie de manière équiva- lente par une communication publique. 6 Une annonce fondée sur le présent article ne peut être utilisée dans le cadre d’une procédure pénale contre la personne tenue d’annoncer qu’avec son consentement.

Chapitre 4 Droits de la personne concernée

Art. 25 Droit d’accès

Toute personne peut demander au responsable du traitement si des données per-

sonnelles la concernant sont traitées.

La personne concernée reçoit les informations nécessaires pour qu’elle puisse faire

valoir ses droits selon la présente loi et pour que la transparence du traitement soit

garantie. Dans tous les cas, elle reçoit les informations suivantes:

l’identité et les coordonnées du responsable du traitement;
les données personnelles traitées en tant que telles;
la finalité du traitement;
la durée de conservation des données personnelles ou, si cela n’est pas pos-

sible, les critères pour fixer cette dernière;

Protection des données. LF FF 2020 7409 e. les informations disponibles sur l’origine des données personnelles, dans la mesure où ces données n’ont pas été collectées auprès de la personne con- cernée; f. le cas échéant, l’existence d’une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision; g. le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l’art. 19, al. 4. 3 Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l’intermédiaire d’un profession- nel de la santé qu’elle aura désigné. 4 Le responsable du traitement qui fait traiter des données personnelles par un sous- traitant demeure tenu de fournir les renseignements demandés. 5 Nul ne peut renoncer par avance au droit d’accès. 6 Le responsable du traitement fournit gratuitement les renseigements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l’information exige des efforts disproportionnés. 7 En règle générale, les renseignements sont fournis dans un délai de 30 jours. Art. 26 Restrictions au droit d’accès 1 Le responsable du traitement peut refuser, restreindre ou différer la communication des renseignements dans les cas suivants: a. une loi au sens formel le prévoit, notamment pour protéger un secret pro- fessionnel; b. les intérêts prépondérants d’un tiers l’exigent; c. la demande d’accès est manifestement infondée notamment parce qu’elle poursuit un but contraire à la protection des données ou est manifestement procédurière. 2 Il est au surplus possible de refuser, de restreindre ou de différer la communication des renseignements dans les cas suivants: a. lorsque le responsable du traitement est une personne privée et que les con- ditions suivantes sont remplies:

ses intérêts prépondérants l’exigent,
il ne communique pas les données à un tiers. b. lorsque le responsable du traitement est un organe fédéral:
si un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l’exige, ou
si la communication des informations est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou adminis- trative.

Protection des données. LF FF 2020

7410

Les entreprises appartenant au même groupe ne sont pas considérées comme des

tiers au sens de l’al. 3, let. c, ch. 2.

Le responsable du traitement indique le motif pour lequel il refuse, restreint ou

diffère la communication des informations.

Art. 27 Restrictions au droit d’accès applicables aux médias

Lorsque les données personnelles sont traitées exclusivement pour la publication

dans la partie rédactionnelle d’un média à caractère périodique, le responsable du

traitement peut refuser, restreindre ou différer la communication des renseignements

dans l’un des cas suivants:

les données fournissent des indications sur les sources d’information;
un droit de regard sur des projets de publication en résulterait;
la libre formation de l’opinion publique serait compromise.

Les journalistes peuvent en outre refuser, restreindre ou différer la communication

des renseignements lorsque les données personnelles servent exclusivement d’instru-

ment de travail personnel.

Art. 28 Droit à la remise ou à la transmission des données personnelles

La personne concernée peut demander au responsable du traitement qu’il lui re-

mette sous un format électronique couramment utilisé les données personnelles la

concernant qu’elle lui a communiquées lorsque les conditions suivantes sont réunies:

a. le responsable du traitement traite les données personnelles de manière auto-

matisée;

b. les données personnelles sont traitées avec le consentement de la personne

concernée ou en relation directe avec la conclusion ou l’exécution d’un con-

trat entre elle et le responsable du traitement.

La personne concernée peut en outre demander au responsable du traitement qu’il

transmette les données personnelles la concernant à un autre responsable du traite-

ment, pour autant que les conditions de l’al. 1 soient remplies et que cela n’exige pas

des efforts disproportionnés.

Le responsable du traitement remet ou transmet gratuitement les données person-

nelles. Le Conseil fédéral peut prévoir des exceptions, notamment si la remise ou la

transmission des données personnelles exige des efforts disproportionnés.

Art. 29 Restrictions du droit à la remise ou à la transmission des données

personnelles

Le responsable du traitement peut refuser, restreindre ou différer la remise ou la trans-

mission de données personnelles pour les mêmes motifs que ceux prévus à l’art. 26, al. 1

et 2.

Le responsable du traitement indique le motif pour lequel il refuse, restreint ou

diffère la remise ou la transmission des données personnelles.

Protection des données. LF FF 2020 7411

Chapitre 5

Dispositions particulières pour le traitement de données personnelles

par des personnes privées

Art. 30 Atteintes à la personnalité

Celui qui traite des données personnelles ne doit pas porter une atteinte illicite à la

personnalité des personnes concernées.

Constitue notamment une atteinte à la personnalité le fait de:

traiter des données personnelles en violation des principes définis aux art. 6 et 8;
traiter des données personnelles contre la manifestation expresse de la volonté

de la personne concernée;

c. communiquer à des tiers des données sensibles.

En règle générale, il n’y a pas atteinte à la personnalité lorsque la personne concer-

née a rendu les données personnelles accessibles à tout un chacun et ne s’est pas

opposée expressément au traitement.

Art. 31 Motifs justificatifs

Une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement

de la personne concernée, par un intérêt privé ou public prépondérant, ou par la loi.

Les intérêts prépondérants du responsable du traitement entrent notamment en

considération dans les cas suivants:

a. le traitement est en relation directe avec la conclusion ou l’exécution d’un

contrat et les données traitées concernent le cocontractant;

b. le traitement s’inscrit dans un rapport de concurrence économique actuel ou

futur avec une autre personne, à condition toutefois qu’aucune donnée per-

sonnelle traitée ne soit communiquée à des tiers; ne sont pas considérées

comme des tiers au sens de cette disposition les entreprises appartenant au

même groupe que le responsable du traitement;

c. les données personnelles sont traitées dans le but d’évaluer la solvabilité de la

personne concernée pour autant que les conditions suivantes soient réunies:

il ne s’agit pas de données sensibles ni d’un profilage à risque élevé,
les données ne sont communiquées à des tiers que s’ils en ont besoin pour conclure ou exécuter un contrat avec la personne concernée,
les données ne datent pas de plus de dix ans,
la personne concernée est majeure; d. les données personnelles sont traitées de manière professionnelle exclusive- ment en vue d’une publication dans la partie rédactionnelle d’un média à caractère périodique ou, si la publication n’a pas lieu, servent exclusivement d’instrument de travail personnel;

Protection des données. LF FF 2020 7412 e. les données personnelles sont traitées à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, si les conditions suivantes sont réunies:

le responsable du traitement anonymise les données dès que la finalité du traitement le permet; si une anonymisation est impossible ou exige des efforts disproportionnés, il prend des mesures appropriées afin que les personnes concernées ne puissent pas être identifiées,
s’il s’agit de données sensibles, le responsable du traitement ne les communique à des tiers que sous une forme ne permettant pas d’iden- tifier la personne concernée; si cela n’est pas possible, des mesures doi- vent êtres prises qui garantissent que les tiers ne traitent les données qu’à des fins ne se rapportant pas à des personnes,
les résultats sont publiés sous une forme ne permettant pas d’identifier les personnes concernées; f. les données personnelles recueillies concernent une personnalité publique et se réfèrent à son activité publique. Art. 32 Prétentions 1 La personne concernée peut exiger que des données personnelles inexactes soient rectifiées, sauf si: a. la modification est interdite par une disposition légale; b. les données sont traitées à des fins archivistiques répondant à un intérêt public. 2 Les actions concernant la protection de la personnalité sont régies par les art. 28, 28a et 28g à 28l du code civil 7 . Le demandeur peut requérir en particulier: a. l’interdiction d’un traitement déterminé de données personnelles; b. l’interdiction d’une communication déterminée de données personnelles à des tiers; c. l’effacement ou la destruction de données personnelles. 3 Si l’exactitude ou l’inexactitude d’une donnée personnelle ne peut pas être établie, le demandeur peut requérir que l’on ajoute à la donnée la mention de son caractère litigieux. 4 Il peut en outre demander que la rectification, l’effacement ou la destruction des données, l’interdiction du traitement ou de la communication à des tiers, la mention du caractère litigieux ou le jugement soient communiqués à des tiers ou publiés.

7 RS 210

Protection des données. LF FF 2020

7413

Chapitre 6

Dispositions particulières pour le traitement de données personnelles

par des organes fédéraux

Art. 33 Contrôle et responsabilité en cas de traitements de données

personnelles conjoints

Lorsqu’un organe fédéral traite des données personnelles conjointement avec d’au-

tres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le

Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de

protection des données.

Art. 34 Bases légales

Les organes fédéraux ne sont en droit de traiter des données personnelles que s’il

existe une base légale.

La base légale doit être prévue dans une loi au sens formel dans les cas suivants:

il s’agit d’un traitement de données sensibles;
il s’agit d’un profilage;
la finalité ou le mode du traitement de données personnelles est susceptible de

porter gravement atteinte aux droits fondamentaux de la personne concernée.

Pour les traitements de données personnelles visés à l’al. 2, let. a et b, une base légale

prévue dans une loi au sens matériel suffit si les conditions suivantes sont réunies:

a. le traitement est indispensable à l’accomplissement d’une tâche définie dans

une loi au sens formel;

b. la finalité du traitement ne présente pas de risques particuliers pour les droits

fondamentaux de la personne concernée.

En dérogation aux al. 1 à 3, les organes fédéraux peuvent traiter des données per-

sonnelles si l’une des conditions suivantes est remplie:

a. le Conseil fédéral a autorisé le traitement, considérant que les droits des per-

sonnes concernées ne sont pas menacés;

b. la personne concernée a consenti au traitement en l’espèce ou a rendu ses

données personnelles accessibles à tout un chacun et ne s’est pas opposée

expressément au traitement;

c. le traitement est nécessaire pour protéger la vie ou l’intégrité corporelle de la

personne concernée ou d’un tiers et il n’est pas possible d’obtenir le consen-

tement de la personne concernée dans un délai raisonnable.

Art. 35 Traitement de données personnelles automatisé dans

le cadre d’essais pilotes

Le Conseil fédéral peut autoriser, avant l’entrée en vigueur d’une loi au sens for-

mel, le traitement automatisé de données sensibles ou d’autres traitements au sens de

l’art. 34, al. 2, let. b et c, si les conditions suivantes sont réunies:

Protection des données. LF FF 2020 7414 a. les tâches qui nécessitent ce traitement sont réglées dans une loi au sens formel déjà en vigueur; b. des mesures appropriées sont prises aux fins de réduire au minimum les atteintes aux droits fondamentaux de la personne concernée; c. la mise en œuvre du traitement rend indispensable une phase d’essai avant l’entrée en vigueur de la loi au sens formel, en particulier pour des raisons techniques. 2 Il consulte au préalable le PFPDT. 3 L’organe fédéral responsable transmet, au plus tard deux ans après la mise en œuvre de l’essai pilote, un rapport d’évaluation au Conseil fédéral. Dans ce rapport, il lui propose la poursuite ou l’interruption du traitement. 4 Le traitement automatisé de données personnelles doit être interrompu dans tous les cas si aucune loi au sens formel prévoyant la base légale nécessaire n’est entrée en vigueur dans un délai de cinq ans à compter de la mise en œuvre de l’essai pilote. Art. 36 Communication de données personnelles 1 Les organes fédéraux ne sont en droit de communiquer des données personnelles que si une base légale au sens de l’art. 34, al. 1 à 3, le prévoit. 2 En dérogation à l’al. 1, ils peuvent, dans un cas d’espèce, communiquer des don- nées personnelles si l’une des conditions suivantes est remplie: a. la communication des données est indispensable à l’accomplissement des tâches légales du responsable du traitement ou du destinataire; b. la personne concernée a consenti à la communication des données; c. la communication des données est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers et il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable; d. la personne concernée a rendu ses données accessibles à tout un chacun et ne s’est pas expressément opposée à la communication; e. le destinataire rend vraisemblable que la personne concernée ne refuse son consentement ou ne s’oppose à la communication que dans le but de l’empê- cher de se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts légitimes; à moins que cela ne s’avère impossible ou ne nécessite des efforts dis- proportionnés, la personne concernée sera auparavant invitée à se prononcer. 3 Les organes fédéraux peuvent en outre communiquer des données personnelles, d’office, dans le cadre de l’information officielle du public, ou en vertu de la loi du 17 décembre 2004 sur la transparence 8 , si les conditions suivantes sont réunies: a. les données sont en rapport avec l’accomplissement de tâches publiques; b. la communication répond à un intérêt public prépondérant.

8 RS 152.3

Protection des données. LF FF 2020 7415 4 Ils sont en droit de communiquer, sur demande, le nom, le prénom, l’adresse et la date de naissance d’une personne, même si les conditions des al. 1 ou 2 ne sont pas remplies. 5 Ils peuvent rendre accessibles des données personnelles à tout un chacun au moyen de services d’information et de communication automatisés lorsqu’une base légale prévoit la publication de ces données ou que ces organes communiquent des données sur la base de l’al. 3. Lorsqu’il n’existe plus d’intérêt public à rendre accessibles ces données, elles doivent être effacées du service d’information et de communication automatisé. 6 Ils refusent la communication, la restreignent ou l’assortissent de charges: a. si un intérêt public important ou un intérêt digne de protection manifeste de la personne concernée l’exige, ou b. si une obligation légale de garder le secret ou une disposition particulière de protection des données l’exige. Art. 37 Opposition à la communication de données personnelles 1 La personne concernée qui rend vraisemblable un intérêt digne de protection peut s’opposer à ce que l’organe fédéral responsable communique des données personnelles déterminées. 2 L’organe fédéral rejette l’opposition si l’une des conditions suivantes est remplie: a. il est juridiquement tenu de communiquer les données personnelles; b. le défaut de communication risque de compromettre l’accomplissement de ses tâches. 3 L’art. 36, al. 3, est réservé. Art. 38 Proposition des documents aux Archives fédérales 1 Conformément à la loi fédérale du 26 juin 1998 sur l’archivage 9 , les organes fédé- raux proposent aux Archives fédérales de reprendre toutes les données personnelles dont ils n’ont plus besoin en permanence. 2 Ils détruisent les données personnelles que les Archives fédérales ont désignées comme n’ayant plus de valeur archivistique, à moins que celles-ci: a. ne soient rendues anonymes; b. ne doivent être conservées à titre de preuve, par mesure de sûreté ou afin de sauvegarder un intérêt digne de protection de la personne concernée. Art. 39 Traitements à des fins ne se rapportant pas à des personnes 1 Les organes fédéraux sont en droit de traiter des données personnelles à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, si les conditions suivantes sont réunies:

9 RS 152.1

Protection des données. LF FF 2020

7416

les données sont rendues anonymes dès que la finalité du traitement le permet;
l’organe fédéral ne communique des données sensibles à des personnes privées

que sous une forme ne permettant pas d’identifier les personnes concernées;

c. le destinataire ne communique les données à des tiers qu’avec le consente-

ment de l’organe fédéral qui les lui a transmises;

d. les résultats du traitement ne sont publiés que sous une forme ne permettant

pas d’identifier les personnes concernées.

Les art. 6, al. 3, 34, al. 2, et 36, al. 1, ne sont pas applicables.

Art. 40 Activités de droit privé exercées par des organes fédéraux

Lorsqu’un organe fédéral agit selon le droit privé, le traitement des données person-

nelles est régi par les dispositions applicables aux personnes privées.

Art. 41 Prétentions et procédure

Quiconque a un intérêt digne de protection peut exiger de l’organe fédéral respon-

sable:

a. qu’il s’abstienne de procéder à un traitement illicite;

b. qu’il supprime les effets d’un traitement illicite;

c. qu’il constate le caractère illicite du traitement.

Le demandeur peut en particulier demander que l’organe fédéral:

a. rectifie les données personnelles, les efface ou les détruise;

b. publie ou communique à des tiers sa décision, concernant notamment la rec-

tification, l’effacement ou la destruction des données, l’opposition à une

communication (art. 37) ou la mention du caractère litigieux des données

personnelles (al. 4).

Au lieu d’effacer ou de détruire les données personnelles, l’organe fédéral limite le

traitement dans les cas suivants:

a. l’exactitude des données est contestée par la personne concernée et leur

exactitude ou inexactitude ne peut pas être établie;

b. des intérêts prépondérants d’un tiers l’exigent;

c. un intérêt public prépondérant, en particulier la sûreté intérieure ou exté-

rieure de la Suisse, l’exige;

d. l’effacement ou la destruction des données est susceptible de compromettre

une enquête, une instruction ou une procédure judiciaire ou administrative.

Si l’exactitude ou l’inexactitude d’une donnée personnelle ne peut pas être établie,

il ajoute à la donnée la mention de son caractère litigieux.

La rectification, l’effacement ou la destruction de données personnelles ne peut pas

être exigée pour les fonds gérés par des institutions ouvertes au public telles que les

bibliothèques, les établissements d’enseignement, les musées, les archives et les

Protection des données. LF FF 2020 7417 autres institutions patrimoniales publiques. Si le demandeur rend vraisemblable qu’il dispose d’un intérêt prépondérant, il peut exiger que l’institution limite l’accès aux données litigieuses. Les al. 3 et 4 ne s’appliquent pas. 6 La procédure est régie par la PA 10 . Les exceptions prévues aux art. 2 et 3 PA ne sont pas applicables. Art. 42 Procédure en cas de communication de documents officiels contenant des données personnelles Tant que l’accès à des documents officiels contenant des données personnelles fait l’objet d’une procédure au sens de la loi du 17 décembre 2004 sur la transparence 11 , la personne concernée peut, dans le cadre de cette procédure, faire valoir les droits que lui confère l’art. 41 de la présente loi concernant les documents qui sont l’objet de la procédure d’accès.

Chapitre 7 Préposé fédéral à la protection des données personnelles et à la transparence Section 1 Organisation Art. 43 Élection et statut 1 L’Assemblée fédérale (Chambres réunies) élit le chef du PFPDT (le préposé). 2 Quiconque a le droit de vote en matière fédérale est éligible. 3 Pour autant que la présente loi n’en dispose pas autrement, les rapports de travail du préposé sont régis par la loi du 24 mars 2000 sur le personnel de la Confédération (LPers) 12 . 4 Le préposé exerce ses fonctions de manière indépendante et sans recevoir ni solli- citer d’instructions de la part d’une autorité ou d’un tiers. Il est rattaché administra- tivement à la Chancellerie fédérale. 5 Il dispose d’un secrétariat permanent et de son propre budget. Il engage son per- sonnel. 6 Il n’est pas soumis au système d’évaluation prévu à l’art. 4, al. 3, LPers. Art. 44 Durée, renouvellement et fin des rapports de fonction 1 La période de fonction du préposé est de quatre ans et peut être renouvelée deux fois. Elle débute le 1 er janvier suivant le début de la législature du Conseil national. 2 Le préposé peut demander à l’Assemblée fédérale, en respectant un délai de six mois, de mettre fin à la période de fonction pour la fin d’un mois.

10 RS 172.021 11 RS 152.3 12 RS 172.220.1

Protection des données. LF FF 2020 7418 3 L’Assemblée fédérale (Chambres réunies) peut révoquer le préposé avant la fin de sa période de fonction: a. s’il a violé gravement ses devoirs de fonction de manière intentionnelle ou par négligence grave; b. s’il a durablement perdu la capacité d’exercer sa fonction. Art. 45 Budget Le PFPDT remet chaque année, par l’intermédiaire de la Chancellerie fédérale, son projet de budget au Conseil fédéral. Celui-ci le transmet tel quel à l’Assemblée fédérale. Art. 46 Incompatibilité Le préposé ne peut pas être membre de l’Assemblée fédérale ou du Conseil fédéral ni exercer aucune autre fonction au service de la Confédération. Art. 47 Activité accessoire 1 Le préposé ne peut exercer aucune activité accessoire. 2 L’Assemblée fédérale (Chambres réunies) peut autoriser le préposé à exercer une activité accessoire, pour autant que l’exercice de la fonction ainsi que l’indépendance et la réputation du PFPDT n’en soient pas affectés. Sa décision est publiée. Art. 48 Autocontrôle du PFPDT Le PFPDT s’assure, par des mesures de contrôle appropriées portant notamment sur la sécurité des données personnelles, du respect et de la bonne application des dispo- sitions fédérales de protection des données en son sein.

Section 2 Enquêtes concernant des violations des prescriptions de protection des données Art. 49 Enquête 1 Le PFPDT ouvre d’office ou sur dénonciation une enquête contre un organe fédé- ral ou une personne privée si des indices suffisants font penser qu’un traitement de données pourrait être contraire à des dispositions de protection des données. 2 Il peut renoncer à ouvrir une enquête lorsque la violation des prescriptions de pro- tection des données est de peu d’importance. 3 L’organe fédéral ou la personne privée fournit au PFPDT tous les renseignements et les documents qui lui sont nécessaires pour l’enquête. Le droit de refuser de

Protection des données. LF FF 2020 7419 fournir des renseignements est régi par les art. 16 et 17 PA 13 , pour autant que l’art. 50, al. 2, de la présente loi n’en dispose pas autrement. 4 Si la personne concernée est l’auteur de la dénonciation, le PFPDT l’informe des suites données à celle-ci et du résultat d’une éventuelle enquête. Art. 50 Pouvoirs 1 Lorsque l’organe fédéral ou la personne privée ne respecte pas son obligation de collaborer, le PFPDT peut dans le cadre de la procédure d’enquête ordonner notam- ment: a. l’accès à tous les renseignements, documents, registres des activités de trai- tement et données personnelles nécessaires pour l’enquête; b. l’accès aux locaux et aux installations; c. l’audition de témoins; d. des expertises. 2 Le secret professionnel demeure réservé. 3 Pour l’exécution des mesures prévues à l’al. 1, le PFPDT peut faire appel à d’autres autorités fédérales ainsi qu’aux organes de police cantonaux et communaux. Art. 51 Mesures administratives 1 Si des dispositions de protection des données sont violées, le PFPDT peut ordonner la modification, la suspension ou la cessation de tout ou partie du traitement ainsi que l’effacement ou la destruction de tout ou partie des données personnelles. 2 Il peut suspendre ou interdire la communication de données personnelles à l’étranger si elle est contraire aux conditions des art. 16 ou 17 ou à des dispositions d’autres lois fédérales concernant la communications de données personnelles à l’étranger. 3 Il peut notamment ordonner à l’organe fédéral ou à la personne privée: a. de lui fournir les informations prévues aux art. 16, al. 2, let. b et c, et 17, al. 2; b. de prendre les mesures prévues aux art. 7 et 8; c. d’informer les personnes concernées conformément aux art. 19 et 21; d. d’établir une analyse d’impact relative à la protection des données personnelles conformément à l’art. 22; e. de le consulter conformément à l’art. 23; f. de l’informer et, le cas échéant, d’informer les personnes concernées, confor- mément à l’art. 24; g. de communiquer à la personne concernée les renseignements visés à l’art. 25.

13 RS 172.021

Protection des données. LF FF 2020 7420 4 Il peut également ordonner au responsable du traitement privé ayant son siège ou son domicile à l’étranger de désigner un représentant conformément à l’art. 14. 5 Lorsque l’organe fédéral ou la personne privée a pris, durant l’enquête, les mesures nécessaires au rétablissement d’une situation conforme aux prescriptions de protec- tion des données, le PFPDT peut se limiter à prononcer un avertissement. Art. 52 Procédure 1 La procédure d’enquête et les décisions relatives aux mesures visées aux art. 50 et 51 sont régies par la PA 14 . 2 Seuls l’organe fédéral ou la personne privée contre lesquels une enquête a été ouverte ont qualité de partie. 3 Le PFPDT a qualité pour recourir contre les décisions sur recours du Tribunal administratif fédéral. Art. 53 Coordination 1 L’autorité administrative fédérale qui surveille une personne privée ou une organi- sation extérieure à l’administration fédérale en vertu d’une autre loi fédérale donne au PFPDT la possibilité de se prononcer lorsqu’elle doit rendre une décision qui touche à des questions de protection des données. 2 Si le PFPDT mène une enquête contre la même partie, les deux autorités doivent coordonner leurs procédures.

Section 3 Assistance administrative

Art. 54 Assistance administrative en Suisse

Les autorités fédérales et cantonales communiquent au PFPDT les informations et

les données personnelles nécessaires à l’accomplissement de ses tâches légales.

Le PFPDT communique les informations et les données personnelles nécessaires à

l’accomplissement de leurs tâches légales:

aux autorités chargées de la protection des données en Suisse;
aux autorités de poursuite pénale compétentes, lorsqu’il s’agit de dénoncer

une infraction conformément à l’art. 65, al. 2;

c. aux autorités fédérales ainsi qu’aux organes de police cantonaux et commu-

naux, pour l’exécution des mesures prévues aux art. 50, al. 3, et 51.

Art. 55 Assistance administrative avec des autorités étrangères

Le PFPDT peut échanger des informations ou des données personnelles avec

des autorités étrangères chargées de la protection des données personnelles pour

14 RS 172.021

Protection des données. LF FF 2020

7421

l’accomplissement de leurs tâches légales respectives en matière de protection des

données, pour autant que les conditions suivantes soient réunies:

la réciprocité en matière d’assistance administrative est garantie;
les informations et les données personnelles échangées ne sont utilisées que

dans le cadre de la procédure liée à la protection des données personnelles

qui a donné lieu à la demande d’assistance administrative;

c. l’autorité destinataire s’engage à ne pas divulguer les secrets professionnels,

d’affaires ou de fabrication;

d. les informations et les données personnelles ne sont communiquées à des

tiers qu’avec l’accord préalable de l’autorité qui les a transmises;

e. l’autorité destinataire s’engage à respecter les charges et les restrictions

d’utilisation exigées par l’autorité qui lui a transmis les informations et les

données personnelles.

Pour motiver sa demande d’assistance administrative ou pour donner suite à une

demande d’assistance administrative de l’autorité requérante, le PFPDT peut com-

muniquer notamment les indications suivantes:

a. l’identité du responsable du traitement, du sous-traitant ou de tout autre tiers

participant au traitement;

b. les catégories de personnes concernées;

c. l’identité des personnes concernées lorsque:

celles-ci ont donné leur consentement, ou que
la communication de l’identité des personnes concernées est indispen- sable à l’accomplissement des tâches légales du PFPDT ou de l’autorité étrangère;
1. les données personnelles ou les catégories de données personnelles traitées;
2. la finalité du traitement;
3. les destinataires ou les catégories de destinataires;
4. les mesures techniques et organisationnelles.
3 Avant de transmettre à une autorité étrangère des informations susceptibles de con- tenir des secrets professionnels, de fabrication ou d’affaires, il informe les personnes physiques ou morales détentrices de ces secrets et les invite à prendre position, à moins que cela ne s’avère impossible ou ne nécessite des efforts disproportionnés.

Section 4 Autres tâches du PFPDT Art. 56 Registre Le PFPDT tient un registre des activités de traitement des organes fédéraux. Ce registre est publié.

Protection des données. LF FF 2020 7422 Art. 57 Information 1 Le PFPDT remet annuellement un rapport sur son activité à l’Assemblée fédérale. Il transmet simultanément ce rapport au Conseil fédéral. Le rapport est publié. 2 S’il en va de l’intérêt général, le PFPDT informe le public de ses constatations et de ses décisions. Art. 58 Autres tâches 1 Le PFPDT a notamment les autres tâches suivantes: a. informer, former et conseiller les organes fédéraux et les personnes privées dans le domaine de la protection des données; b. assister les organes cantonaux et collaborer avec les autorités chargées de la protection des données en Suisse et à l’étranger; c. sensibiliser le public, en particulier les personnes vulnérables, à la protection des données personnelles; d. fournir sur demande à la personne concernée des informations sur l’exercice de ses droits; e. se prononcer sur les projets d’actes législatifs fédéraux et de mesures fédé- rales impliquant des traitements de données; f. assumer les tâches qui lui sont conférées par la loi du 17 décembre 2004 sur la transparence 15 ou par d’autres lois fédérales; g. élaborer des outils valant recommandations de bonne pratique à l’attention des responsables du traitement, des sous-traitants et des personnes concer- nées; ce faisant, il tient compte des particularités des différents secteurs, ain- si que du besoin de protection des personnes vulnérables. 2 Il peut conseiller les organes fédéraux, même s’ils ne sont pas soumis à sa surveil- lance en vertu des art. 2 et 4. Les organes fédéraux peuvent lui donner accès à leurs dossiers. 3 Il est autorisé à remettre aux autorités étrangères chargées de la protection des don- nées une déclaration indiquant que, dans le domaine de la protection des données, la Suisse autorise la notification directe sur son territoire si la réciprocité lui est accordée.

Section 5 Émoluments Art. 59 1 Le PFPDT perçoit des émoluments auprès des personnes privées pour les presta- tions suivantes:

15 RS 152.3

Protection des données. LF FF 2020

7423

la prise de position concernant les codes de conduite visés à l’art. 11, al. 2;
l’approbation des clauses type de protection des données et des règles d’entre-

prise contraignantes selon l’art. 16, al. 2, let. d et e;

c. la consultation préalable dans le cadre de l’analyse d’impact relative à la pro-

tection des données selon l’art. 23, al. 2;

d. les mesures provisionnelles et les mesures prononcées en vertu de l’art. 51;

e. les conseils en matière de protection des données visés à l’art. 58, al. 1, let. a.

Le Conseil fédéral fixe le montant des émoluments.

Il peut déterminer les cas dans lesquels il est possible de renoncer à percevoir un

émolument ou de le réduire.

Chapitre 8 Dispositions pénales Art. 60 Violation des obligations d’informer, de renseigner et de collaborer 1 Sont, sur plainte, punies d’une amende de 250 000 francs au plus les personnes pri- vées qui: a. contreviennent aux obligations prévues aux art. 19, 21 et 25 à 27 en fournis- sant intentionnellement des renseignements inexacts ou incomplets; b. omettent intentionnellement:

d’informer la personne concernée conformément aux art. 19, al. 1, et 21, al. 1,
de lui fournir les informations prévues à l’art. 19, al. 2. 2 Sont punies d’une amende de 250 000 francs au plus les personnes privées qui, dans le cadre d’une enquête, en violation de l’art. 49, al. 3, fournissent intentionnellement au PFPDT des renseignements inexacts ou refusent intentionnellement de collaborer. Art. 61 Violation des devoirs de diligence Sont, sur plainte, punies d’une amende de 250 000 francs au plus les personnes pri- vées qui, intentionnellement: a. communiquent des données personnelles à l’étranger en violation de l’art. 16, al. 1 et 2, et sans que les conditions de l’art. 17 soient remplies; b. confient le traitement de données personnelles à un sous-traitant sans que les conditions de l’art. 9, al. 1 et 2, soient remplies; c. ne respectent pas les exigences minimales en matière de sécurité des don- nées édictées par le Conseil fédéral selon l’art. 8, al. 3.

Protection des données. LF FF 2020 7424 Art. 62 Violation du devoir de discrétion 1 Est, sur plainte, puni d’une amende de 250 000 francs au plus quiconque révèle in- tentionnellement des données personnelles secrètes portées à sa connaissance dans l’exercice d’une profession qui requiert la connaissance de telles données. 2 Est passible de la même peine quiconque révèle intentionnellement des données personnelles secrètes portées à sa connaissance dans le cadre des activités qu’il exer- ce pour le compte d’une personne soumise à l’obligation de garder le secret ou lors de sa formation chez elle. 3 La révélation de données personnelles secrètes demeure punissable alors même que l’exercice de la profession ou la formation ont pris fin. Art. 63 Insoumission à une décision Sont punies d’une amende de 250 000 francs au plus les personnes privées qui, in- tentionnellement, ne se conforment pas à une décision du PFPDT ou d’une autorité de recours, à elles signifiées sous la menace de la peine prévue au présent article. Art. 64 Infractions commises dans une entreprise 1 Les art. 6 et 7 de la loi fédérale du 22 mars 1974 sur le droit pénal administratif (DPA) 16 sont applicables aux infractions commises dans une entreprise. 2 Lorsque l’amende entrant en ligne de compte ne dépasse pas 50 000 francs et que l’enquête rendrait nécessaires à l’égard des personnes punissables selon l’art. 6 DPA des mesures d’instruction hors de proportion avec la peine encourue, l’autorité peut renoncer à poursuivre ces personnes et condamner l’entreprise (art. 7 DPA) au paie- ment de l’amende à leur place. Art. 65 Compétence 1 La poursuite et le jugement des infractions incombent aux cantons. 2 Le PFPDT peut dénoncer des infractions aux autorités de poursuite pénale compé- tentes et faire valoir les droits d’une partie plaignante dans la procédure. Art. 66 Prescription de l’action pénale L’action pénale se prescrit par cinq ans.

16 RS 313.0

Protection des données. LF FF 2020 7425 Chapitre 9 Conclusion de traités internationaux Art. 67 Le Conseil fédéral peut conclure des traités internationaux concernant: a. la coopération internationale entre autorités chargées de la protection des données; b. la reconnaissance réciproque d’un niveau de protection adéquat pour la communication de données personnelles à l’étranger.

Chapitre 10 Dispositions finales Art. 68 Abrogation et modification d’autres actes L’abrogation et la modification d’autres actes sont réglées dans l’annexe 1. Art. 69 Disposition transitoire concernant les traitements en cours Les art. 7, 22 et 23 ne sont pas applicables aux traitements qui ont débuté avant l’entrée en vigueur de la présente loi, pour autant que les finalités du traitement restent inchangées et que de nouvelles données ne soient pas collectées. Art. 70 Disposition transitoire concernant les procédures en cours La présente loi ne s’applique ni aux enquêtes du PFPDT pendantes au moment de son entrée en vigueur ni aux recours pendants contre les décisions de première instance rendues avant son entrée en vigueur. Dans ces affaires, l’ancien droit s’applique. Art. 71 Disposition transitoire concernant les données concernant des personnes morales Pour les organes fédéraux, les dispositions d’autres actes de droit fédéral qui font référence à des données personnelles continuent de s’appliquer au traitement des don- nées concernant des personnes morales pendant les cinq ans suivant l’entrée en vigueur de la présente loi. Pendant ce délai, les organes fédéraux peuvent en particulier conti- nuer à communiquer des données concernant des personnes morales selon l’art. 57s, al. 1 et 2, de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration 17 s’il existe une base légale permettant de communiquer des données personnelles.

17 RS 172.010

Protection des données. LF FF 2020 7426 Art. 72 Disposition transitoire relative à l’élection et à la fin des rapports de travail du préposé L’ancien droit s’applique à l’élection et à la fin des rapports de travail du préposé jusqu’à la fin de la législature au cours de laquelle la présente loi entre en vigueur. Art. 73 Coordination La coordination avec d’autres actes est réglée dans l’annexe 2. Art. 74 Référendum et entrée en vigueur 1 La présente loi est sujette au référendum. 2 Le Conseil fédéral fixe la date de l’entrée en vigueur. Conseil national, 25 septembre 2020 La présidente: Isabelle Moret Le secrétaire: Pierre-Hervé Freléchoz Conseil des Etats, 25 septembre 2020 Le président: Hans Stöckli La secrétaire: Martina Buol

Date de publication: 6 octobre 2020 18

Délai référendaire: 14 janvier 2021

18 FF 2020 7397

Protection des données. LF FF 2020 7427 Annexe 1 (art. 68) Abrogation et modification d’autres actes

I Sont abrogés:

la loi fédérale du 19 juin 1992 sur la protection des données 19 ;
la loi du 28 septembre 2018 sur la protection des données Schengen 20 . II Les actes mentionnés ci-après sont modifiés comme suit:
Loi fédérale du 21 mars 1997 instituant des mesures visant au maintien de la sûreté intérieure 21

Art. 21, al. 2 2 L’autorité de contrôle informe la personne soumise au contrôle du résultat des investigations et de l’appréciation du risque pour la sécurité. La personne soumise au contrôle peut consulter dans les dix jours les documents relatifs au contrôle et de- mander la rectification des données erronées; pour les dossiers de la Confédération, elle peut en outre demander la suppression de données obsolètes ou l’apposition d’une remarque de contestation. La restriction de la communication des renseigne- ments est régie par l’art. 26 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 22 . Art. 23a, al. 4 4 Le droit d’accès et le droit de faire rectifier les données sont régis par les art. 25 et 41, al. 2, let. a, LPD 23 .

19 RO 1993 1945, 1997 2372, 1998 1546 1586, 1999 2243, 2006 2197 2319, 2007 4983, 2010 1739 3387, 2013 3215, 2019 625 20 RO 2019 639 21 RS 120 22 RS 235.1 23 RS 235.1

Protection des données. LF FF 2020 7428 Art. 23b, al. 2, let. c 2 Seules les données suivantes peuvent être traitées dans le système: c. les données personnelles, y compris les données sensibles, dans la mesure où elles sont nécessaires pour évaluer la menace que des personnes représen- tent; ces données comprennent notamment les données concernant l’état de santé, les condamnations ou procédures en cours, l’appartenance à un parti, une société, une association, une organisation ou une institution et des in- formations sur les organes dirigeants de ces derniers. Art. 23c, al. 2, phrase introductive 2 Les données, y compris les données sensibles, peuvent être communiquées aux services et personnes suivants: Art. 24a, al. 10 10 Le droit d’obtenir des renseignements sur les données figurant dans le système d’information et le droit de faire rectifier les données sont régis par les art. 25 et 41, al. 2, let. a, LPD 24 . Fedpol informe la personne visée de l’enregistrement et de l’effacement des données la concernant dans le système d’information.

Loi fédérale du 25 septembre 2015 sur le renseignement 25

Art. 13, let. c Par sources d’informations publiques, on entend notamment: c. les données personnelles que les particuliers rendent accessibles au public; Art. 44, al. 1 1 Le SRC et les autorités d’exécution cantonales peuvent traiter des données person- nelles, sensibles ou non, y compris des données personnelles qui permettent d’éva- luer la menace qu’une personne représente. Art. 46, al. 1 1 Les autorités d’exécution cantonales ne constituent aucune banque de données en application de la présente loi. Art. 61, al. 2, phrase introductive 2 Si la législation de l’État destinataire n’assure pas un niveau de protection adéquat des données, des données personnelles peuvent lui être communiquées, en déroga-

24 RS 235.1 25 RS 121

Protection des données. LF FF 2020 7429 tion à l’art. 16, al. 1, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 26 , si la Suisse entretient avec l’État destinataire des relations diplo- matiques et que l’une des conditions suivantes est remplie: Art. 64, al. 2 à 5 2 Il lui indique soit qu’aucune donnée le concernant n’est traitée illégalement, soit qu’il a constaté une erreur relative au traitement des données ou au report de la réponse et qu’il a ouvert une enquête conformément à l’art. 49 LPD 27 . 3 Abrogé 4 En cas d’erreur relative au traitement des données ou au report de la réponse, il ordonne au SRC d’y remédier. 5 Si le requérant rend vraisemblable qu’un report de la réponse le léserait gravement et de manière irréparable, le PFPDT peut ordonner au SRC qu’il fournisse immédia- tement à titre exceptionnel le renseignement demandé pour autant que sa communi- cation ne constitue pas une menace pour la sûreté intérieure ou extérieure. Art. 65 Abrogé Art. 66, al. 1 1 Les communications visées aux art. 63, al. 3, et 64, al. 2, sont toujours formulées de manière identique et ne sont pas motivées. Art. 78, al. 5 5 Pour accomplir ses tâches, l’autorité de surveillance indépendante peut accéder à tous les systèmes d’information et à toutes les banques de données des entités sou- mises à la surveillance; elle peut également accéder à des données sensibles. Elle ne peut conserver les données dont elle a ainsi eu connaissance que jusqu’à l’aboutissement de la procédure de contrôle. Les accès aux différents systèmes d’information et banques de données doivent être consignés dans un journal par le responsable du traitement.

Loi du 20 juin 2014 sur la nationalité suisse 28

Art. 44 Traitement des données Pour accomplir les tâches qui lui incombent de par la présente loi, le SEM peut traiter des données personnelles, y compris des données personnelles permettant

26 RS 235.1 27 RS 235.1 28 RS 141.0

Protection des données. LF FF 2020 7430 d’évaluer les conditions d’aptitude du requérant ainsi que des données sensibles sur les opinions religieuses, les activités politiques, la santé, les mesures d’aide sociale et les poursuites ou sanctions pénales et administratives. Pour ce faire, il exploite un système d’information électronique conformément à la loi fédérale du 20 juin 2003 sur le système d’information commun aux domaines des étrangers et de l’asile 29 .

Loi fédérale du 16 décembre 2005 sur les étrangers et l’intégration 30

Remplacement d’expression À l’art. 111b, al. 4, «Préposé fédéral à la protection des données» est remplacé par «Préposé fédéral à la protection des données et à la transparence». Art. 101 Traitement de données personnelles Dans la mesure où l’accomplissement de leur mandat légal l’exige, le SEM, les auto- rités cantonales chargées des questions relatives aux étrangers et, dans la limite de ses compétences, le Tribunal administratif fédéral peuvent traiter ou faire traiter des données personnelles relatives aux étrangers et aux tiers participant à une procédure prévue par la présente loi, y compris des données sensibles. Art. 104, al. 4 4 Les entreprises de transport aérien informent les passagers concernés conformé- ment à l’art. 19 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 31 . Art. 105, al. 1 1 Afin d’accomplir leurs tâches, notamment de lutter contre les actes punissables en vertu de la présente loi, le SEM et les autorités cantonales compétentes peuvent communiquer des données personnelles concernant des étrangers aux autorités étran- gères et aux organisations internationales chargées de tâches similaires, pour autant que les conditions de l’art. 16 LPD 32 soient respectées. Art. 111d, al. 1 et 2 1 Aucune donnée personnelle ne peut être communiquée à un État tiers si celui-ci n’assure pas un niveau de protection des données adéquat au sens de l’art. 16, al. 1, LPD 33 . 2 Des données personnelles peuvent être communiquées à un État tiers en dépit de l’absence d’un niveau de protection adéquat dans les cas suivants:

29 RS 142.51 30 RS 142.20 31 RS 235.1 32 RS 235.1 33 RS 235.1

Protection des données. LF FF 2020 7431 a. la personne concernée a donné son consentement au sens de l’art. 6, al. 6 et, le cas échéant, al. 7, LPD; b. la communication est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée et il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable; c. la communication est indispensable à la sauvegarde d’un intérêt public pré- pondérant ou à la constatation, à l’exercice ou à la défense d’un droit devant un tribunal ou une autre autorité étrangère compétente. Art. 111f, 2 e phrase Abrogée

Loi du 26 juin 1998 sur l’asile 34

Art. 96, al. 1 1 Dans la mesure où l’accomplissement de leur mandat légal l’exige, le SEM, les autorités de recours et les organisations privées chargées de tâches en vertu de la présente loi peuvent traiter ou faire traiter des données personnelles relatives à un requérant ou à une personne à protéger et à leurs proches, y compris des données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 35 . Art. 98, al. 1 1 En vue de l’exécution de la présente loi, le SEM et les autorités de recours sont autorisés à communiquer des données personnelles aux autorités étrangères et aux organisations internationales chargées de tâches dans ce cadre, pour autant que les conditions fixées à l’art. 16 LPD 36 soient remplies. Art. 99, al. 6 6 Il est interdit de communiquer à l’étranger sans l’accord du responsable du traite- ment les données personnelles transmises en vertu de l’al. 4. L’art. 16, al. 1, LPD 37

s’applique par analogie.

34 RS 142.31 35 RS 235.1 36 RS 235.1 37 RS 235.1

Protection des données. LF FF 2020 7432 Art. 99a, al. 2, let. a 2 Le MIDES sert: a. à traiter des données personnelles relatives aux requérants d’asile et aux per- sonnes à protéger, y compris des données sensibles au sens de l’art. 5, let. c, LPD 38 ; Art. 100, al. 2 2 Ce système peut contenir des données sensibles, pour autant que l’accomplisse- ment des tâches prévues par la loi en dépende. Art. 102, al. 1, 3 e phrase, et 2 1 ... Si nécessaire, les données personnelles figurant dans les textes peuvent égale- ment être saisies, notamment les renseignements sur l’identité d’une personne et les données sensibles. 2 Seuls les collaborateurs du SEM et du Tribunal administratif fédéral ont accès aux banques de données qui contiennent des données sensibles. Art. 102c, al. 1 et 2 1 Aucune donnée personnelle ne peut être communiquée à un État tiers si celui-ci n’assure pas un niveau de protection des données adéquat au sens de l’art. 16, al. 1, LPD 39 . 2 Des données personnelles peuvent être communiquées à un État tiers en dépit de l’absence d’un niveau de protection adéquat dans les cas suivants: a. la personne concernée a donné son consentement au sens de l’art. 6, al. 6 et, le cas échéant, al. 7, LPD; b. la communication est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée et il n’est pas possible d’obtenir le consentement de celle-ci dans un délai raisonnable; c. la communication est indispensable à la sauvegarde d’un intérêt public pré- pondérant ou à la constatation, à l’exercice ou à la défense d’un droit devant un tribunal ou une autre autorité étrangère compétente. Art. 102e, 2 e phrase Abrogée

38 RS 235.1 39 RS 235.1

Protection des données. LF FF 2020 7433 6. Loi fédérale du 20 juin 2003 sur le système d’information commun aux domaines des étrangers et de l’asile 40

Art. 4, al. 2 2 Les données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 41 peuvent être traitées dans le système d’information, pour autant que l’accomplissement des tâches mentionnées à l’art. 3 de la présente loi en dépende. Art. 6 Droit d’accès et de rectification 1 Les demandes visant à obtenir un droit d’accès à des données personnelles (art. 25 LPD 42 ) et celles visant à rectifier des données inexactes (art. 41, al. 2, let. a, LPD) doivent être adressées au SEM. 2 Les recours sont régis par l’art. 41 LPD et doivent être adressés au SEM. Art. 7, al. 2 2 Il s’assure de l’exactitude des données personnelles qu’il traite (art. 6, al. 5, LPD 43 ). Art. 15 Communication de données personnelles à l’étranger La communication de données personnelles à l’étranger est régie par les art. 16 et 17 LPD 44 , 105 à 107, 111a à 111d et 111i LEI 45 et 97, 98, 102a bis , 102b et 102c LAsi 46 . Art. 16 Devoir de surveillance des autorités cantonales de protection des données Dans le cadre de leur domaine de compétences, les autorités cantonales de protection des données veillent au respect de la protection des données.

Loi du 22 juin 2001 sur les documents d’identité 47

Art. 10 Principe Le traitement des données est régi dans le cadre de la présente loi par la loi fédérale du 25 septembre 2020 sur la protection des données 48 .

40 RS 142.51 41 RS 235.1 42 RS 235.1 43 RS 235.1 44 RS 235.1 45 RS 142.20; cf. également art. 127 LEI 46 RS 142.31 47 RS 143.1 48 RS 235.1

Protection des données. LF FF 2020 7434 Art. 14 Interdiction de tenir des banques de données parallèles La tenue de banques de données parallèles est interdite à l’exception de la conserva- tion, par l’autorité d’établissement, des formules de demande, pendant une durée déterminée.

Loi fédérale du 20 mars 2009 sur la Commission de prévention de la torture 49

Art. 10, al. 1 1 La commission est autorisée à traiter des données sensibles et d’autres données personnelles conformément à la loi fédérale du 25 septembre 2020 sur la protection des données 50 à condition que l’accomplissement de ses tâches l’exige et que ces données portent sur la situation de personnes privées de liberté ou s’y rapportent.

Loi fédérale du 26 juin 1998 sur l’archivage 51

Art. 11, al. 1 1 Les archives classées selon des noms de personnes et contenant des données sen- sibles sont soumises à un délai de protection de 50 ans à moins que la personne concernée n’en ait autorisé la consultation. Art. 15, titre et al. 1 Renseignements et contestation 1 La communication de renseignements aux personnes concernées et le droit d’accès de celles-ci aux archives sont régis par les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données 52 . Il appartient au service versant de prononcer la décision de refus.

Loi du 17 décembre 2004 sur la transparence 53

Remplacement d’expressions Dans l’ensemble de la loi, «Préposé fédéral à la protection des données et à la trans- parence» et «préposé» sont remplacés par «PFPDT», en procédant aux ajustements grammaticaux nécessaires.

49 RS 150.1 50 RS 235.1 51 RS 152.1 52 RS 235.1 53 RS 152.3

Protection des données. LF FF 2020 7435 Art. 3, al. 2 2 L’accès aux documents officiels contenant des données personnelles du demandeur est régi par la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 54 . Art. 9 Protection des données personnelles et des données concernant des personnes morales 1 Les documents officiels contenant des données personnelles ou des données con- cernant des personnes morales doivent être si possible rendus anonymes avant qu’ils soient consultés. 2 Lorsque la demande d’accès porte sur des documents officiels qui ne peuvent pas être rendus anonymes, l’art. 36 LPD 55 est applicable pour les données personnelles et l’art. 57s de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration 56 pour les données concernant des personnes morales. La procédure d’accès est régie par la présente loi. Art. 11 Droit d’être entendu 1 Lorsque l’autorité envisage d’accorder l’accès à un document officiel dont la con- sultation est susceptible de porter atteinte à la sphère privée de tiers, elle consulte les tiers concernés et les invite à se prononcer dans un délai de dix jours. 2 Elle les informe de sa prise de position sur la demande d’accès. Art. 12, al. 2, 2 e phrase, et 3 2 ... Il est prolongé de la durée nécessaire lorsque la demande porte sur des docu- ments officiels dont la consultation est susceptible de porter atteinte à la sphère pri- vée de tiers. 3 Lorsque la demande porte sur des documents officiels dont la consultation est sus- ceptible de porter atteinte à la sphère privée de tiers, l’autorité diffère l’accès jusqu’à droit connu. Art. 13, al. 2 2 La demande en médiation est déposée par écrit auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT) dans un délai de 20 jours à compter de la date de réception de la prise de position de l’autorité ou à l’échéance des délais fixés à l’autorité pour prendre position.

54 RS 235.1 55 RS 235.1 56 RS 172.010

Protection des données. LF FF 2020 7436 Art. 15, al. 2, let. b 2 Au surplus, l’autorité rend une décision si, en dérogation à la recommandation: b. elle entend accorder l’accès à un document officiel dont la consultation est susceptible de porter atteinte à la sphère privée de tiers. Art. 18, phrase introductive et let. a à c En vertu de la présente loi, le PFPDT a en particulier les tâches et compétences suivantes: a à c. Ne concernent que le texte allemand. Art. 20, al. 2 2 Le PFPDT est soumis au secret de fonction dans la même mesure que les autorités dont il consulte les documents officiels ou dont il obtient des renseignements.

Loi du 18 juin 2004 sur les publications officielles 57

Art. 16b, al. 1 1 Les publications au sens de la présente loi peuvent contenir des données person- nelles; elles peuvent contenir en particulier des données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données 58 , lors- que cela est nécessaire en vertu d’une obligation de publication prévue par une loi fédérale.

Loi du 13 décembre 2002 sur le Parlement 59

Art. 40a, al. 1, let. d, 2, 1 re phrase, et 6 1 La Commission judiciaire est compétente pour préparer l’élection et la révocation des personnes suivantes: d. le chef du Préposé fédéral à la protection des données et à la transparence (préposé). 2 La Commission judiciaire met au concours public les postes vacants de juges, de procureur général de la Confédération, de procureurs généraux suppléants de la Confédération et de préposé. ... 6 Si les Commissions de gestion ou la Délégation des finances font des constatations qui mettent sérieusement en cause l’aptitude professionnelle ou personnelle du

57 RS 170.512 58 RS 235.1 59 RS 171.10

Protection des données. LF FF 2020 7437 procureur général de la Confédération, d’un procureur général suppléant, d’un juge ou du préposé, elles les communiquent à la Commission judiciaire. Art. 142, al. 2 et 3, 3 e phrase 2 Il reprend tels quels dans son projet de budget et dans le compte d’État les projets de budget et les comptes de l’Assemblée fédérale, des tribunaux fédéraux, du Con- trôle fédéral des finances, du Ministère public de la Confédération, de l’Autorité de surveillance du Ministère public de la Confédération et du Préposé fédéral à la protection des données et à la transparence (PFPDT). 3 ... Le PFPDT défend son projet de budget et ses comptes devant l’Assemblée fédérale.

Loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration 60

Titre précédant l’art. 57h Chapitre 4 Traitement de données personnelles et de données concernant des personnes morales Section 1 Systèmes de gestion des affaires Art. 57h Gestion des systèmes 1 Les unités de l’administration fédérale et les Services du Parlement gèrent des sys- tèmes électroniques permettant d’assurer le bon déroulement de leurs processus opérationnels et de gérer des documents, correspondance y comprise. 2 Ils peuvent donner à d’autres autorités fédérales et à des unités qui sont extérieures à l’administration fédérale un accès à leurs systèmes de gestion des affaires dans la mesure où cet accès est nécessaire au bon déroulement de leurs processus opération- nels. Insérer avant le titre de la section 2 Art. 57h bis Traitement de données personnelles et de données concernant des personnes morales 1 Les données personnelles, y compris les données sensibles au sens de la loi fédé- rale du 25 septembre 2020 sur la protection des données (LPD) 61 , ainsi que les données concernant des personnes morales, y compris les données sensibles au sens de l’art. 57r, al. 2, de la présente loi, peuvent être traitées dans les systèmes de gestion des affaires dans le but:

60 RS 172.010 61 RS 235.1

Protection des données. LF FF 2020

7438

de traiter des affaires;
d’organiser le déroulement du travail;
de constater si des données se rapportant à une personne déterminée sont

traitées;

d. de faciliter l’accès à la documentation.

L’accès à des données personnelles, y compris des données sensibles au sens de la

LPD, ainsi qu’à des données concernant des personnes morales, y compris des

données sensibles au sens de l’art. 57r, al. 2, de la présente loi, peut être accordé à

d’autres autorités fédérales et à des unités qui sont extérieures à l’administration

fédérale si la base légale requise pour la communication existe.

Les systèmes de gestion des affaires peuvent contenir des données sensibles au

sens de la LPD ainsi que des données sensibles concernant des personnes morales au

sens de l’art. 57r, al. 2, de la présente loi, dans la mesure où ces données ressortent

de la correspondance ou découlent de la nature d’une affaire ou d’un document.

L’accès à des données sensibles au sens de la LPD ainsi qu’à des données sensibles

concernant des personnes morales au sens de l’art. 57r, al. 2, de la présente loi ne

peut être accordé qu’aux personnes auxquelles cet accès est nécessaire pour

l’accomplissement de leurs tâches.

Art. 57h

ter

Dispositions d’exécution

Le Conseil fédéral édicte les dispositions d’exécution, en particulier sur l’organisa-

tion et l’exploitation des systèmes de gestion des affaires et sur la protection des

données personnelles et des données concernant des personnes morales qui y sont

enregistrées.

Titre précédant l’art. 57i

Section 2

Traitement de données personnelles et de données concernant

des personnes morales lors de l’utilisation de l’infrastructure

électronique

Art. 57i Relation avec d’autres lois fédérales

Les dispositions de la présente section ne sont pas applicables lorsqu’une autre loi

fédérale règle le traitement de données liées à l’utilisation de l’infrastructure élec-

tronique, qu’il s’agisse de données personnelles ou de données concernant des per-

sonnes morales.

Art. 57j Principes

Les organes fédéraux au sens de la LPD

ne sont pas autorisés à enregistrer et ex-

ploiter les données liées à l’utilisation de leur infrastructure électronique ou de

62 RS 235.1

Protection des données. LF FF 2020 7439 l’infrastructure électronique dont ils ont délégué l’exploitation, qu’il s’agisse de don- nées personnelles ou de données concernant des personnes morales, sauf si la poursuite des buts prévus aux art. 57l à 57o de la présente loi l’exige. 2 Les traitements au sens de la présente section peuvent également porter sur des données sensibles au sens de la LPD et des données sensibles concernant des per- sonnes morales au sens de l’art. 57r, al. 2, de la présente loi. Art. 57k, phrase introductive L’infrastructure électronique comprend l’ensemble des équipements et appareils fixes ou mobiles qui peuvent enregistrer des données personnelles ou des données concernant des personnes morales, en particulier: Art. 57l, titre, phrase introductive et let. b, ch. 4 Enregistrement de données personnelles et de données concer- nant des personnes morales Les organes fédéraux peuvent enregistrer les données personnelles et les données concernant des personnes morales liées à l’utilisation de leur infrastructure électro- nique dans les buts suivants: b. les données résultant de l’utilisation de l’infrastructure électronique: 4. pour retracer l’accès à l’infrastructure électronique, Titre précédant l’art. 57r Section 3 Traitement de données concernant des personnes morales Art. 57r Traitement de données concernant des personnes morales 1 Les organes fédéraux peuvent traiter des données concernant des personnes mo- rales, y compris des données sensibles, dans la mesure où l’accomplissement de leurs tâches l’exige et où elles sont définies dans une loi au sens formel. 2 Les données sensibles concernant des personnes morales sont: a. les données relatives à des poursuites ou des sanctions administratives ou pénales; b. les données relatives à des secrets professionnels, d’affaires ou de fabrication. Art. 57s Communication de données concernant des personnes morales 1 Les organes fédéraux sont en droit de communiquer des données concernant des personnes morales si une base légale le prévoit. 2 Ils ne sont en droit de communiquer des données sensibles concernant des per- sonnes morales que si une loi au sens formel le prévoit.

Protection des données. LF FF 2020 7440 3 En dérogation aux al. 1 et 2, ils peuvent, dans un cas d’espèce, communiquer des données concernant des personnes morales si l’une des conditions suivantes est remplie: a. la communication des données est indispensable à l’accomplissement des tâches légales de l’organe fédéral ou du destinataire; b. la personne morale concernée a donné son consentement; c. le destinataire rend vraisemblable que la personne morale concernée ne re- fuse son consentement ou ne s’oppose à la communication que dans le but de l’empêcher de se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts légitimes; à moins que cela ne s’avère impossible ou ne né- cessite des efforts disproportionnés, la personne morale concernée doit être auparavant invitée à se prononcer. 4 Ils peuvent en outre communiquer d’office des données concernant des personnes morales dans le cadre de l’information officielle du public, ou en vertu de la loi du 17 décembre 2004 63 sur la transparence, si les conditions suivantes sont réunies: a. les données sont en rapport avec l’accomplissement de tâches publiques; b. la communication répond à un intérêt public prépondérant. 5 Ils peuvent rendre accessibles à tous des données concernant des personnes mo- rales au moyen de services d’information et de communication automatisés, lors- qu’une base légale prévoit la publication de ces données ou lorsque ces organes communiquent des données sur la base de l’al. 4. Lorsqu’il n’existe plus d’intérêt public à rendre accessibles ces données, elles doivent être effacées du service d’in- formation et de communication automatisé.

6 Les organes fédéraux refusent la communication, la restreignent ou l’assortissent de charges: a. si un intérêt public important ou un intérêt légitime manifeste de la personne morale concernée l’exige, ou b. si une obligation légale de garder le secret ou des prescriptions particulières de protection des données concernant des personnes morales l’exigent.

Art. 57t Droits des personnes morales Les droits des personnes morales sont régis par les règles de procédure applicables.

Loi du 24 mars 2000 sur le personnel de la Confédération 64

Art. 27, al. 2, phrase introductive 2 Il peut traiter les données ci-après relatives au personnel qui sont nécessaires à l’exécution des tâches mentionnées à l’al. 1, y compris les données sensibles:

63 RS 152.3 64 RS 172.220.1

Protection des données. LF FF 2020 7441 Art. 27d, al. 2, phrase introductive, et 4, phrase introductive 2 La CSPers peut traiter les données personnelles et les données sensibles ci-après qui concernent ses clients et sont nécessaires à l’exécution de ses tâches: 4 La CSPers peut rendre accessibles aux personnes et aux services ci-après les don- nées mentionnées à l’al. 2, pour autant que l’exécution de leurs tâches l’exige:

Loi du 17 juin 2005 sur le Tribunal administratif fédéral 65

Art. 35, let. b Abrogée

Code civil 66

Art. 45a, al. 5, ch. 5

5 Le Conseil fédéral règle en collaboration avec les cantons: 5. les mesures organisationnelles et techniques nécessaires pour assurer la protection et la sécurité des données ainsi que la sur- veillance du respect des dispositions de protection des don- nées;

Loi fédérale du 30 septembre 2016 sur les mesures de coercition à des fins d’assistance et les placements extrafamiliaux antérieurs à 1981 67

Art. 6, al. 2 2 Elle peut traiter des données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données 68 si cela est nécessaire à l’exécu- tion de ses tâches.

65 RS 173.32 66 RS 210 67 RS 211.223.13 68 RS 235.1

Protection des données. LF FF 2020 7442 18. Code des obligations 69

Art. 328b, 2 e phrase ... En outre, les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données 70 sont applicables. Art. 406g, al. 2

2 Lors du traitement de données personnelles concernant le mandant, le mandataire est tenu à un devoir de discrétion; les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données 71 sont réservées.

Loi fédérale du 23 mars 2001 sur le crédit à la consommation 72

Art. 23, al. 3 et 4 3 Le centre de renseignements est un organe fédéral au sens de l’art. 5, let. i, de la loi fédérale du 25 septembre 2020 sur la protection des données 73 . Le Conseil fédéral édicte les dispositions d’exécution. 4 Sous réserve des compétences prévues par la loi fédérale sur la protection des données, le centre de renseignements est soumis à la surveillance du département compétent.

Loi du 2 avril 1908 sur le contrat d’assurance 74

Art. 3, al. 1, let. g 1 L’assureur doit, avant la conclusion du contrat d’assurance, renseigner le preneur de manière compréhensible sur son identité et sur les principaux éléments du contrat d’assurance. Il doit le renseigner sur: g. Ne concerne que les textes allemand et italien.

69 RS 220 70 RS 235.1 71 RS 235.1 72 RS 221.214.1 73 RS 235.1 74 RS 221.229.1

Protection des données. LF FF 2020 7443 21. Loi du 16 décembre 2005 sur la surveillance de la révision 75

Art. 15b Traitement de données personnelles et de données concernant des personnes morales Pour accomplir leurs tâches légales, l’autorité de surveillance peut traiter des don- nées personnelles et des données concernant des personnes morales, y compris des données sensibles au sens de la loi fédérale du 25 septembre 2020 sur la protection des données 76 et des données sensibles concernant des personnes morales au sens de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration 77 .

Loi fédérale du 24 mars 2000 sur le traitement des données personnelles au Département fédéral des affaires étrangères 78

Art. 1, 2 e phrase Abrogée Art. 2, al. 1 et 2, 1 re phrase 1 Les services compétents du département peuvent traiter des données sur les per- sonnes participant à des engagements en faveur de la promotion de la paix, du ren- forcement des droits de l’homme et de l’aide humanitaire, à des fins de planification et d’organisation de ces engagements. 2 Ils peuvent également traiter des données sensibles sur la santé ou d’autres données personnelles permettant d’évaluer l’aptitude des personnes concernées à assumer un engagement au sens de l’al. 1. ... Art. 4, al. 3, phrase introductive et let. b 3 Les données peuvent comprendre: b. Ne concerne que le texte allemand. Art. 5, al. 1, phrase introductive, et 3 1 Pour l’accomplissement des obligations de droit international public de la Suisse, le Secrétariat d’État et la Mission permanente de la Suisse près les organisations internationales à Genève peuvent traiter des données personnelles concernant: 3 Les services compétents du département peuvent traiter des données sensibles, portant en particulier sur les mesures d’aide sociale et les poursuites ou sanctions pénales et administratives, pour remplir les obligations et les tâches visées aux al. 1

75 RS 221.302 76 RS 235.1 77 RS 172.010 78 RS 235.2

Protection des données. LF FF 2020 7444 et 2 et pour contribuer à régler des litiges dans lesquels sont impliquées les per- sonnes, organisations ou institutions mentionnés à l’al. 1. Art. 6, let. a Le Conseil fédéral édicte des dispositions d’exécution relatives: a. à l’organisation et à l’exploitation des systèmes d’information;

Loi fédérale du 19 décembre 1986 contre la concurrence déloyale 79

Art. 22, al. 2, 2 e phrase 2 ... Les art. 16 et 17 de la loi fédérale du 25 septembre 2020 sur la protection des données 80 s’appliquent pour le surplus.

Code de procédure civile 81

Art. 20, let. d Le tribunal du domicile ou du siège de l’une des parties est compétent pour statuer sur: d. les actions et requêtes fondées sur la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 82 . Art. 99, al. 3, let. d 3 Il n’y a pas lieu de fournir des sûretés: d. dans la procédure relative à un litige relevant de la LPD 83 . Art. 113, al. 2, let. g 2 Il n’est pas perçu de frais judiciaires pour: g. les litiges relevant de la LPD 84 . Art. 114, let. g Il n’est pas perçu de frais judiciaires dans la procédure au fond pour: g. les litiges relevant de la LPD 85 .

79 RS 241 80 RS 235.1 81 RS 272 82 RS 235.1 83 RS 235.1 84 RS 235.1 85 RS 235.1

Protection des données. LF FF 2020 7445 Art. 243, al. 2, let. d 2 Elle s’applique quelle que soit la valeur litigieuse: d. aux litiges portant sur le droit d’accès selon l’art. 25 LPD 86 ; Titre précédant l’art. 407e Chapitre 6 Disposition transitoire de la modification du 25 septembre 2020 Art. 407e Le nouveau droit est applicable aux procédures pendantes lors de l’entrée en vigueur de la modification du 25 septembre 2020.

Loi fédérale du 18 décembre 1987 sur le droit international privé 87

Art. 130, al. 3

3 Les actions en exécution du droit d’accès ou de consultation par rapport à un traitement de données personnelles peuvent être intentées devant les tribunaux mentionnés à l’art. 129.

Code pénal 88

Remplacement d’une expression Aux art. 349c, 349e, 349g et 349h, «préposé» est remplacé par «PFPDT». Art. 179 novies

Soustraction de données personnelles Celui qui aura soustrait des données personnelles sensibles qui ne sont pas accessibles à tout un chacun sera, sur plainte, puni d’une peine privative de liberté de trois ans au plus ou d’une peine pécuniaire.

86 RS 235.1 87 RS 291 88 RS 311.0

Protection des données. LF FF 2020 7446 Insérer avant le titre 4 Art. 179 decies

Usurpation d’identité Celui qui aura utilisé l’identité d’une autre personne sans son consen- tement dans le dessein de lui nuire ou de se procurer ou de procurer à un tiers un avantage illicite sera, sur plainte, puni d’une peine priva- tive de liberté d’un an au plus ou d’une peine pécuniaire. Art. 349a, phrase introductive Les autorités fédérales compétentes ne sont en droit de communiquer des données personnelles que s’il existe une base légale au sens de l’art. 36, al. 1, de la loi fédérale du 25 septembre 2020 sur la protec- tion des données (LPD) 89 ou dans les cas suivants: Art. 349c, al. 3

3 Si l’autorité qui communique les données est une autorité fédérale, elle informe le Préposé fédéral à la protection des données et à la transparence (PFPDT) des catégories de communications de données personnelles effectuées sur la base de garanties spécifiques au sens de l’al. 2, let. c. Chaque communication est documentée. Art. 349g, al. 1 et 3

1 La personne concernée peut requérir du PFPDT qu’il vérifie si les éventuelles données la concernant sont traitées licitement dans les cas suivants: a. son droit d’être informée d’un échange de données la concer- nant est restreint ou différé (art. 19 et 20 LPD 90 ); b. son droit d’accès est rejeté, restreint ou différé (art. 25 et 26 LPD); c. son droit de demander la rectification, la destruction ou l’effacement de données la concernant est rejeté partiellement ou totalement (art. 41, al. 2, let. a, LPD). 3 Le PFPDT effectue la vérification demandée; il indique à la personne concernée soit qu’aucune donnée la concernant n’est traitée illicitement, soit qu’il a constaté une erreur relative au traitement des données per- sonnelles et qu’il a ouvert une enquête conformément à l’art. 49 LPD.

89 RS 235.1 90 RS 235.1

Protection des données. LF FF 2020 7447 Art. 349h, al. 1 et 4

1 La personne concernée qui rend vraisemblable qu’un échange de données personnelles la concernant pourrait être contraire à des pres- criptions de protection des données personnelles peut demander au PFPDT l’ouverture d’une enquête au sens de l’art. 49 LPD 91 . 4 Les art. 50 et 51 LPD s’appliquent pour le surplus. Art. 352, al. 2

2 La LPD 92 régit les échanges d’informations opérés en vue de recher- cher des personnes disparues et d’identifier des inconnus de même que ceux qui sont effectués à des fins administratives. Art. 355a, al. 1

1 L’Office fédéral de la police (fedpol) et le Service de renseignement de la Confédération (SRC) peuvent transmettre des données person- nelles à l’Office européen de police (Europol), y compris des données personnelles sensibles. Art. 365, al. 1, 1 re phrase

1 L’Office fédéral de la justice gère, en collaboration avec d’autres auto- rités fédérales et les cantons (art. 367, al. 1), un casier judiciaire infor- matisé contenant des données sensibles relatives aux condamnations ainsi que des données sensibles relatives aux demandes d’extrait du casier judiciaire déposées dans le cadre d’enquêtes pénales en cours. ...

Art. 367, al. 3

3 Le Conseil fédéral peut, si le nombre des demandes de renseigne- ment le justifie, et après consultation du PFPDT, étendre le droit d’accès visé à l’al. 2 à d’autres autorités judiciaires et administratives de la Confédération et des cantons jusqu’à l’entrée en vigueur d’une loi fédérale.

91 RS 235.1 92 RS 235.1

Protection des données. LF FF 2020 7448 27. Loi fédérale du 22 mars 1974 sur le droit pénal administratif 93

Titre précédant l’art. 18a Chapitre troisième: Protection des données personnelles Art. 18a A. Collecte de données person- nelles 1 Des données personnelles peuvent être collectées auprès de la per- sonne concernée ou de façon reconnaissable pour elle, à moins que la procédure n’en soit mise en péril ou qu’il n’en résulte un volume de travail disproportionné. 2 Si des données personnelles sont collectées à l’insu de la personne concernée, celle-ci doit en être informée sans délai. L’autorité peut renoncer à cette information ou l’ajourner si un intérêt public ou privé prépondérant l’exige. Art. 18b B. Traitement de données personnelles Lorsque l’autorité administrative fédérale traite des données person- nelles, elle veille à distinguer dans la mesure du possible: a. les différentes catégories de personnes concernées; b. les données personnelles fondées sur des faits de celles fon- dées sur des appréciations personnelles. Art. 18c C. Communica- tion et utilisation de données personnelles dans le cadre d’une procédure pendante L’autorité administrative fédérale peut communiquer des données per- sonnelles relevant d’une procédure pénale administrative pendante pour permettre leur utilisation dans le cadre d’une autre procédure pendante, lorsqu’il y a lieu de présumer que ces données personnelles contribueront dans une notable mesure à l’élucidation des faits. Art. 18d D. Droit aux renseignements dans le cadre d’une procédure pendante Tant que la procédure est pendante, les parties et les autres partici- pants à la procédure peuvent, dans les limites de leur droit de consul- ter le dossier, obtenir les données personnelles qui les concernent.

93 RS 313.0

Protection des données. LF FF 2020 7449 Art. 18e E. Exactitude des données personnelles 1 L’autorité administrative fédérale rectifie sans retard les données personnelles inexactes. 2 Elle informe immédiatement de la rectification de ces données l’au- torité qui les lui a transmises ou qui les a mises à sa disposition ou à laquelle elles ont été communiquées.

Procédure pénale militaire du 23 mars 1979 94

Titre précédant l’art. 25a

Chapitre 6 Protection des données personnelles

Art. 25a Collecte de données personnelles

Des données personnelles peuvent être collectées auprès de la personne concernée

ou de façon reconnaissable pour elle, à moins que la procédure n’en soit mise en

péril ou qu’il n’en résulte un volume de travail disproportionné.

Si des données personnelles sont collectées à l’insu de la personne concernée,

celle-ci doit en être informée sans délai. L’autorité pénale militaire peut renoncer à

cette information ou l’ajourner si un intérêt public ou privé prépondérant l’exige.

Art. 25b Traitement de données personnelles

Lorsque l’autorité pénale militaire traite des données personnelles, elle veille à dis-

tinguer dans la mesure du possible:

les différentes catégories de personnes concernées;
les données personnelles fondées sur des faits de celles fondées sur des ap-

préciations personnelles.

Art. 25c Communication et utilisation de données personnelles dans le cadre

d’une procédure pendante

L’autorité pénale militaire peut communiquer des données personnelles relevant

d’une procédure pénale militaire pendante pour permettre leur utilisation dans le

cadre d’une autre procédure pendante, lorsqu’il y a lieu de présumer que ces don-

nées personnelles contribueront dans une notable mesure à l’élucidation des faits.

94 RS 322.1

Protection des données. LF FF 2020 7450 Art. 25d Droit aux renseignements dans le cadre d’une procédure pendante Tant que la procédure est pendante, les parties et les autres participants à la procé- dure peuvent, dans les limites de leur droit de consulter le dossier, obtenir les don- nées personnelles qui les concernent. Art. 25e Exactitude des données personnelles 1 L’autorité pénale militaire rectifie sans retard les données personnelles inexactes. 2 Elle informe immédiatement de la rectification de ces données l’autorité qui les lui a transmises ou qui les a mises à sa disposition ou à laquelle elles ont été commu- niquées.

Loi du 20 mars 1981 sur l’entraide pénale internationale 95

Art. 11c, al. 2 à 4 2 Lorsqu’une personne demande à l’office fédéral s’il a reçu une demande d’arrestation aux fins d’extradition, ce dernier l’informe qu’aucune donnée la con- cernant n’est traitée illicitement et qu’elle peut demander au Préposé fédéral à la protection des données et à la transparence (PFPDT) de vérifier si les éventuelles données la concernant sont traitées licitement. 3 Le PFPDT effectue la vérification demandée; il indique à la personne concernée soit qu’aucune donnée la concernant n’est traitée illicitement, soit qu’il a constaté une erreur relative au traitement des données personnelles et qu’il a ouvert une enquête conformément à l’art. 49 de la loi fédérale du 25 septembre 2020 sur la protection des données 96 . 4 Ne concerne que les textes allemand et italien.

Loi fédérale du 13 juin 2008 sur les systèmes d’information de police de la Confédération 97

Remplacement d’une expression Aux art. 8, al. 7, et 8a, al. 1, «préposé» est remplacé par «PFPDT». Art. 3, al. 2, 1 re phrase 2 Dans le cadre de la présente loi, les autorités fédérales de police sont habilitées à traiter des données personnelles, y compris des données sensibles, et à les communi- quer aux autorités cantonales de police et de poursuite pénale ainsi qu’à d’autres autorités suisses ou étrangères. ...

95 RS 351.1 96 RS 235.1 97 RS 361

Protection des données. LF FF 2020 7451 Art. 5, titre et al. 2 Traitement de données à des fins de contrôle interne 2 Abrogé Art. 7, al. 1 1 Le droit d’accès est régi par les art. 25 et 26 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 98 . Art. 8, al. 2 et 3 2 Le cas échéant, fedpol informe la personne concernée du report de sa réponse; il lui indique qu’elle peut demander au Préposé fédéral à la protection des données et à la transparence (PFPDT) qu’il vérifie si les éventuelles données la concernant sont traitées licitement et si des intérêts prépondérants liés au maintien du secret justifient le report. 3 Le PFPDT effectue la vérification demandée; il indique à la personne concernée soit qu’aucune donnée la concernant n’est traitée illicitement, soit qu’il a constaté une erreur relative au traitement des données personnelles ou au report de la réponse et qu’il a ouvert une enquête conformément à l’art. 49 LPD 99 . Art. 8a, al. 2 2 Le PFPDT effectue la vérification demandée; il indique à la personne concernée soit qu’aucune donnée la concernant n’est traitée illicitement, soit qu’il a constaté une erreur relative au traitement des données personnelles et qu’il a ouvert une enquête conformément à l’art. 49 LPD 100 . Art. 18, al. 1, 1 re phrase 1 Fedpol exploite le système informatisé de gestion interne des affaires et des dos- siers, qui peut contenir des données sensibles. ...

Loi du 20 juin 2003 sur les profils d’ADN 101

Art. 12, al. 1 1 Le Conseil fédéral désigne l’office fédéral responsable du système d’information (office) selon la loi fédérale du 25 septembre 2020 sur la protection des données 102 .

98 RS 235.1 99 RS 235.1 100 RS 235.1 101 RS 363 102 RS 235.1

Protection des données. LF FF 2020 7452 Art. 15, al. 3 3 Le droit d’être renseigné de même que les cas dans lesquels la communication de renseignements peut être refusée, restreinte ou différée sont régis par les art. 25 et 26 de la loi fédérale du 25 septembre 2020 sur la protection des données 103 .

Loi du 4 octobre 1991 sur les EPF 104

Art. 36a, al. 1, 1 re phrase 1 Le Conseil des EPF, les EPF et les établissements de recherche exploitent chacun un système d’information concernant le personnel dans lequel des données sensibles peuvent également être traitées. ... Art. 36b, al. 1 et 5, 2 e phrase 1 Pour la gestion des données concernant les candidats aux études, les étudiants, les candidats au doctorat et les auditeurs, chaque EPF exploite un système d’informa- tion permettant également de traiter les données sensibles. 5 ... Seuls les services chargés de la gestion des études au sein de chaque EPF ont accès en ligne aux données sensibles. Art. 36c Traitement des données 1 Les EPF et les établissements de recherche peuvent traiter des données personnel- les, y compris des données sensibles, dans le cadre de projets de recherche, dans la mesure où cela est nécessaire pour le projet de recherche concerné. 2 Ils assurent, ce faisant, le respect des dispositions de la loi fédérale du 25 sep- tembre 2020 sur la protection des données 105 .

Loi du 17 juin 2011 sur l’encouragement du sport 106

Art. 21, al. 3, phrase introductive 3 Les organes visés à l’al. 2 sont habilités à traiter les données qu’ils recueillent dans le cadre de leurs activités de contrôle, y compris les données sensibles, et à les trans- mettre à l’autorité compétente dans les buts suivants:

103 RS 235.1 104 RS 414.110 105 RS 235.1 106 RS 415.0

Protection des données. LF FF 2020 7453 Art. 25, al. 1, phrase introductive, et 4 1 L’autorité compétente en matière de lutte contre le dopage (art. 19) est habilitée à échanger des données personnelles, y compris des données sensibles, avec des orga- nes de lutte contre le dopage étrangers ou internationaux reconnus, lorsque l’échan- ge est nécessaire aux actes suivants: 4 L’autorité compétente en matière de lutte contre le dopage (art. 19) veille à ce que les données qu’elle communique ne soient pas transmises à des tiers non autorisés. Les art. 16 et 17 de la loi fédérale du 25 septembre 2020 sur la protection des don- nées 107 s’appliquent pour le surplus.

Loi fédérale du 19 juin 2015 sur les systèmes d’information de la Confédération dans le domaine du sport 108

Art. 1, al. 1, phrase introductive 1 La présente loi règle le traitement des données personnelles (données), y compris des données sensibles, dans les systèmes d’information de l’Office fédéral du sport (OFSPO) par les services et personnes suivants: Art. 4 Abrogé Art. 9, phrase introductive Le système d’information national pour le sport contient toutes les données person- nelles et informations nécessaires à l’accomplissement des tâches visées à l’art. 8, y compris des données sensibles, notamment: Art. 14, phrase introductive Le système d’information pour les données médicales contient toutes les données personnelles et informations nécessaires à l’accomplissement des tâches visées à l’art. 13, y compris des données sensibles, notamment: Art. 18, phrase introductive Le système d’information pour les résultats du diagnostic de performance contient toutes les données personnelles et informations nécessaires à l’accomplissement des tâches visées à l’art. 17, y compris des données sensibles, notamment:

107 RS 235.1 108 RS 415.1

Protection des données. LF FF 2020 7454 Art. 22, phrase introductive Le système d’information de la HEFSM contient toutes les données personnelles et informations nécessaires à l’accomplissement des tâches visées à l’art. 21, y compris des données sensibles, notamment: Art. 26, phrase introductive Le système d’information pour l’évaluation des cours contient toutes les données personnelles et informations nécessaires à l’évaluation des cours et des prestations d’enseignement, y compris des données sensibles, notamment: Art. 32, phrase introductive Le système d’information de l’agence nationale de lutte contre le dopage contient toutes les données personnelles et informations nécessaires à la lutte contre le dopa- ge, y compris des données sensibles, notamment:

Loi du 9 octobre 1992 sur la statistique fédérale 109

Art. 5, al. 2, let. a, et 4, let. a 2 Il peut déléguer la compétence d’ordonner des relevés à un département, à un grou- pement ou à un office lorsqu’il s’agit de: a. relevés qui ne comportent pas de données personnelles ni de données con- cernant des personnes morales; 4 D’autres organismes soumis à la présente loi selon l’art. 2, al. 2 ou 3, sont habilités à ordonner eux-mêmes: a. des relevés qui ne comportent pas de données personnelles ni de données concernant des personnes morales; Art. 7, al. 2 2 Il peut exiger le transfert de données enregistrées dans leurs banques de données si la base juridique applicable à ces banques de données n’en interdit pas expressément l’utilisation à des fins statistiques. Si ces données sont soumises à une obligation légale de garder le secret, il est interdit de les communiquer au sens de l’art. 19 de la présente loi et de l’art. 39 de la loi fédérale du 25 septembre 2020 sur la protection des données 110 . Art. 10, al. 4 et 5, 2 e phrase 4 Pour permettre à l’office d’accomplir ses tâches, les unités administratives et les autres organismes, pour autant qu’ils soient soumis à l’art. 2, al. 3, de la présente loi,

109 RS 431.01 110 RS 235.1

Protection des données. LF FF 2020 7455 lui communiquent les bases et les résultats de leurs travaux statistiques; au besoin, ils lui fournissent aussi des données provenant de leurs banques de données et de leurs relevés. 5 ... L’office n’est pas autorisé à communiquer ces données en vertu de l’art. 19 de la présente loi et de l’art. 39 de la loi fédérale du 25 septembre 2020 sur la protection des données 111 . Art. 12, al. 2 2 L’office s’emploie à coordonner les statistiques fédérales et les statistiques canto- nales, notamment pour harmoniser les programmes des relevés, et, en vue de leur traitement, les registres ou autres banques de données. Art. 14, al. 1 1 Les données collectées ou communiquées à des fins statistiques ne peuvent être utilisées à d’autres fins, à moins qu’une loi fédérale n’autorise expressément une autre utilisation ou que la personne physique ou morale concernée n’y ait consenti par écrit. Art. 14a, al. 1, 2 e phrase 1 ... Si des données personnelles sensibles ou des données sensibles concernant des personnes morales sont appariées ou si l’appariement de données permet d’établir les caractéristiques essentielles d’une personne physique ou morale, les données appariées doivent être effacées une fois les travaux statistiques d’exploitation termi- nés. ... Art. 15, al. 1 1 Tous les services traitant des données personnelles ou des données concernant des personnes morales provenant de la statistique fédérale ou qui lui sont destinées ont l’obligation de les protéger contre tout traitement abusif en prenant les mesures tech- niques et les mesures d’organisation qui s’imposent. Art. 16, al. 1 1 La protection des données de l’ensemble des travaux statistiques est régie par les dispositions de la présente loi. Les données personnelles sont en outre régies par les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données 112

qui concernent les traitements aux fins de recherche, de planification et de statis- tique.

111 RS 235.1 112 RS 235.1

Protection des données. LF FF 2020 7456 Art. 19, al. 2, phrase introductive 2 Les producteurs de statistiques de la Confédération sont en droit de communiquer des données personnelles et des données concernant des personnes morales à des services de statistique, à des institutions de recherche de la Confédération ou à des tiers, à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, si:

Loi fédérale du 18 juin 2010 sur le numéro d’identification des entreprises 113

Art. 3, al. 1, let. d 1 On entend par: d. services IDE: les unités administratives fédérales, cantonales et communa- les, les établissements de droit public et les institutions privées chargées de tâches de droit public qui gèrent des banques de données concernant des entités IDE du fait de leur activité économique; Art. 5, al. 1, let. b 1 Les services IDE ont les obligations suivantes: b. utiliser l’IDE dans leurs banques de données;

Loi du 18 décembre 1992 sur la Bibliothèque nationale 114

Art. 2, al. 2, et art. 7, titre et phrase introductive Ne concerne que le texte allemand.

Loi du 16 mars 2012 sur les espèces protégées 115

Art. 23, al. 2, 1 re phrase 2 Les données peuvent être communiquées en ligne si la législation étrangère assure un niveau de protection adéquat au sens de l’art. 16 de la loi fédérale du 25 sep- tembre 2020 sur la protection des données 116 . ...

113 RS 431.03 114 RS 432.21 115 RS 453 116 RS 235.1

Protection des données. LF FF 2020 7457 39. Loi fédérale du 16 décembre 2005 sur la protection des animaux 117

Art. 20c, al. 1, phrase introductive 1 Les personnes suivantes peuvent traiter des données personnelles, y compris des données sensibles, et accéder à ces données en ligne, pour autant que cela soit néces- saire à l’accomplissement de leurs tâches légales:

Loi du 3 février 1995 sur l’armée 118

Art. 31, al. 2, 2 e phrase 2 ... Ils sont habilités à traiter des données personnelles, y compris des données sensi- bles, à condition et aussi longtemps que l’exécution de leurs tâches l’exige. Art. 99, al. 2, 1 re phrase, et 3, let. d 2 Il est habilité à traiter, le cas échéant à l’insu de la personne concernée, des don- nées personnelles, sensibles ou non, y compris des données personnelles qui permet- tent d’évaluer la menace qu’une personne représente, à condition et aussi longtemps que l’exécution de ses tâches l’exige. ... 3 Le Conseil fédéral règle: d. les exceptions aux dispositions sur l’enregistrement des activités de traite- ment des données lorsque, à défaut, la recherche des informations serait compromise. Art. 100, al. 3, let. a et b, et 4, let. c, ch. 2 3 Les organes responsables de la sécurité militaire sont autorisés: a. à traiter des données personnelles, sensibles ou non, y compris des données personnelles qui permettent d’évaluer la menace qu’une personne représente, à condition et aussi longtemps que leurs tâches l’exigent; b. à communiquer des données personnelles à l’étranger, pour autant que les conditions des art. 16 et 17 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 119 soient remplies; 4 Le Conseil fédéral règle: c. en cas de service d’appui ou de service actif: 2. les exceptions à l’obligation de déclarer les registres des activités de traitement au Préposé fédéral à la protection des données et à la transpa- rence pour enregistrement (art. 12, al. 4, LPD) si cet enregistrement compromet la recherche d’informations.

117 RS 455 118 RS 510.10 119 RS 235.1

Protection des données. LF FF 2020 7458 Art. 146 Systèmes d’information de l’armée Le traitement dans les systèmes d’information de l’armée et lors de l’engagement de moyens de surveillance de l’armée et de l’administration militaire de données sen- sibles et de données personnelles qui permettent d’évaluer la menace qu’une per- sonne représente est réglé par la loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée 120 .

Loi du 5 octobre 2007 sur la géoinformation 121

Art. 11 Protection des données 1 La loi fédérale du 25 septembre 2020 sur la protection des données 122 s’applique à toutes les géodonnées de base relevant du droit fédéral. Les art. 12, al. 2, let. c, 14, al. 1 et 2, et 32, al. 2, let. d, de la présente loi et les dispositions d’exécution corres- pondantes sont réservés. 2 Le Conseil fédéral peut prévoir des exceptions à l’obligation de tenir un registre des activités de traitement lorsque les traitements présentent un risque limité d’att- einte aux droits fondamentaux de la personne concernée. 3 Il peut définir des niveaux d’autorisation d’accès contraignants pour les géo- données de base relevant du droit fédéral.

Loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée 123

Art. 1, al. 1, phrase introductive, et 3 1 La présente loi règle le traitement de données personnelles (données), y compris de données sensibles, dans les systèmes d’information et lors de l’engagement de moy- ens de surveillance de l’armée et de l’administration militaire par: 3 Dans la mesure où la présente loi ne contient pas de dispositions spécifiques, la loi fédérale du 25 septembre 2020 sur la protection des données 124 est applicable. Art. 10, let. c Il est interdit de traiter les données sur: c. l’origine raciale ou ethnique.

120 RS 510.91 121 RS 510.62 122 RS 235.1 123 RS 510.91 124 RS 235.1

Protection des données. LF FF 2020

7459

Art. 11, al. 2

Lorsque la combinaison de données personnelles permet d’évaluer les caractéris-

tiques essentielles d’une personne, les données combinées ne peuvent être conser-

vées au-delà:

de la libération des obligations militaires, ou
d’un délai de cinq ans à compter de la fin de l’engagement auprès du Grou-

pement Défense.

Loi fédérale du 13 décembre 1996 sur le matériel de guerre 125

Art. 30, al. 2, 2 e phrase 2 ... Il a le droit de traiter des données personnelles, sensibles ou non, y compris des données personnelles qui permettent d’évaluer le risque qu’une personne commette une infraction à la présente loi, dans la mesure et aussi longtemps que l’exécution de ses tâches l’exige.

Loi du 20 juin 1997 sur les armes 126

Art. 32e, al. 1 et 2 1 Aucune donnée personnelle ne peut être communiquée à un État tiers si celui-ci n’assure pas un niveau de protection des données adéquat au sens de l’art. 16, al. 1, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 127 . 2 Des données personnelles peuvent être communiquées à un État tiers en dépit de l’absence d’un niveau de protection adéquat dans les cas suivants: a. la personne concernée a donné son consentement au sens de l’art. 6, al. 6 et, le cas échéant, al. 7, LPD; b. la communication est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée et il n’est pas possible d’obtenir son consentement dans un délai raisonnable; c. la communication est indispensable à la sauvegarde d’un intérêt public pré- pondérant ou à la constatation, à l’exercice ou à la défense d’un droit devant un tribunal ou une autre autorité étrangère compétente. Art. 32g, 2 e phrase Abrogée

125 RS 514.51 126 RS 514.54 127 RS 235.1

Protection des données. LF FF 2020 7460

Loi fédérale du 4 octobre 2002 sur la protection de la population et sur la protection civile 128

Art. 72, al. 1, 2 e phrase introductive et let. b, et 1 bis , 2 e phrase introductive et let. b 1 ... Il peut traiter les données suivantes: b. les données personnelles qui permettent de déterminer l’affectation à une fonction de base ou le potentiel de cadre. 1bis ... Il peut traiter à cette fin les données suivantes: b. les données personnelles permettant de déterminer le potentiel de cadre ou de spécialiste.

Loi du 7 octobre 2005 sur les finances 129

Art. 60c, al. 1, phrase introductive, et 3 1 La CEPF traite, sur papier et dans un système d’information, les données concer- nant ses clients, y compris les données sensibles, dont elle a besoin pour s’acquitter de ses tâches, notamment pour: 3 Les employés de la CEPF peuvent, pour l’exécution de leurs tâches, transmettre des données personnelles, y compris des données sensibles, à leurs supérieurs di- rects, même si ces derniers ne sont pas des employés de la CEPF.

Loi du 28 juin 1967 sur le Contrôle des finances 130

Art. 10, al. 3 Ne concerne que les textes allemand et italien.

Loi du 18 mars 2005 sur les douanes 131

Art. 38, al. 2 2 Il peut rendre des décisions de taxation sous la forme d’une décision individuelle automatisée au sens de l’art. 21 de la loi fédérale du 25 septembre 2020 sur la pro- tection des données (LPD) 132 .

128 RS 520.1 129 RS 611.0 130 RS 614.0 131 RS 631.0 132 RS 235.1

Protection des données. LF FF 2020

7461

Art. 103, al. 1, phrase introductive, et 2

L’AFD peut établir l’identité d’une personne en la photographiant ou en relevant

ses données génétiques ou biométriques:

Le Conseil fédéral détermine les données génétiques et les données biométriques

pouvant être relevées.

Art. 110, al. 1 et 2

L’AFD peut traiter des données personnelles, y compris des données sensibles,

pour:

fixer et percevoir des redevances;
établir des analyses de risques;
poursuivre et juger des infractions;
traiter des demandes d’assistance administrative et d’entraide judiciaire;
établir des statistiques;
exécuter et analyser les activités de police dans le domaine du contrôle des

personnes;

g. exécuter et analyser l’exécution des actes législatifs de la Confédération

autres que douaniers;

h. exécuter et analyser les activités de lutte contre la criminalité.

Elle peut gérer des systèmes d’information à cet effet. Elle est en outre autorisée à

faire du profilage, y compris du profilage à risque élevé, au sens de la LPD

133

pour

accomplir les tâches mentionnées à l’al. 1, let. a à c et e à h.

Art. 110a, al. 3, let. b

Le système d’information permet de traiter les données sensibles suivantes:

b. les indications relatives à l’appartenance religieuse, pour autant que cela soit

nécessaire, à titre exceptionnel, à la poursuite pénale;

Art. 112, al. 2, phrase introductive, 4, let. b, et 6, 3

phrase

Peuvent en particulier être communiquées les données et connexions de données

suivantes, y compris des données sensibles et des données issues d’un profilage, y

compris d’un profilage à risque élevé:

L’AFD peut rendre accessibles par procédure d’appel les données suivantes aux

autorités mentionnées ci-après si elles sont nécessaires à l’exécution des actes légis-

latifs que ces autorités doivent appliquer:

b. abrogée

... L’art. 16, al. 1, LPD

134

est réservé.

133 RS 235.1

Protection des données. LF FF 2020 7462 Art. 113 Communication de données à des autorités étrangères L’AFD ne peut communiquer des données, y compris des données sensibles et des données issues d’un profilage, y compris d’un profilage à risque élevé, à des autori- tés d’autres États ainsi qu’à des organisations supranationales ou internationales (autorités étrangères), dans des cas d’espèce ou en procédure d’appel, que si un traité international le prévoit. Art. 114, al. 2 2 Les autorités suisses fournissent à l’AFD les données, y compris des données sen- sibles et des données issues d’un profilage, y compris d’un profilage à risque élevé, qui sont nécessaires à l’exécution des actes législatifs qu’elle doit appliquer.

Loi du 12 juin 2009 sur la TVA 135

Art. 76, al. 1 et 3

L’AFC est habilitée à traiter les données sensibles nécessaires à l’accomplissement

de ses tâches légales, y compris les données relatives à des poursuites et à des sanc-

tions administratives ou pénales.

Elle est également habilitée à faire du profilage, y compris du profilage à risque

élevé, au sens de la loi fédérale du 25 septembre 2020 sur la protection des don-

nées

136

pour l’accomplissement de ses tâches:

de vérification et de contrôle;
de détermination de l’assujettissement;
de perception de l’impôt;
de prévention et de poursuite des infractions;
d’analyse et d’établissement de profils de risques;
d’établissement de statistiques.

Art. 76a, al. 1, 3, let. g, et 4

L’AFC exploite un système d’information pour le traitement de données person-

nelles et de données sensibles relatives aux poursuites et aux sanctions adminis-

tratives et pénales.

Le système d’information peut contenir les données personnelles suivantes, don-

nées sensibles y comprises:

g. abrogée

134 RS 235.1 135 RS 641.20 136 RS 235.1

Protection des données. LF FF 2020 7463 4 Le Préposé fédéral à la protection des données et à la transparence a accès au système d’information de l’AFC pour l’exercice de ses tâches de surveillance. Art. 76b, al. 2 2 L’AFC peut communiquer les données personnelles issues d’un profilage, y com- pris d’un profilage à risque élevé, au sens de l’art. 76, al. 3, ainsi que les données visées à l’art. 76a, al. 3, aux collaborateurs de l’AFD chargés de la perception et de l’encaissement de la TVA ou de l’exécution des procédures administratives ou pénales, ou leur donner accès à ces données en ligne, dans la mesure où l’accomplissement des tâches de ces collaborateurs l’exige.

Loi fédérale du 21 mars 1969 sur l’imposition du tabac 137

Art. 18, al. 4 4 La fixation du montant de l’impôt peut intervenir sous la forme d’une décision individuelle automatisée selon l’art. 21 de la loi fédérale du 25 septembre 2020 sur la protection des données 138 .

Loi fédérale du 6 octobre 2006 sur l’imposition de la bière 139

Art. 17, al. 3, 2 e phrase 3 ... La fixation du montant de l’impôt peut intervenir sous la forme d’une décision individuelle automatisée selon l’art. 21 de la loi fédérale du 25 septembre 2020 sur la protection des données 140 .

Loi du 21 juin 1996 sur l’imposition des huiles minérales 141

Art. 21, al. 2 bis

2bis La fixation du montant de l’impôt peut intervenir sous la forme d’une décision individuelle automatisée selon l’art. 21 de la loi fédérale du 25 septembre 2020 sur la protection des données 142 .

137 RS 641.31 138 RS 235.1 139 RS 641.411 140 RS 235.1 141 RS 641.61 142 RS 235.1

Protection des données. LF FF 2020 7464 53. Loi du 19 décembre 1997 relative à une redevance sur le trafic des poids lourds 143

Art. 11, al. 4 4 La taxation d’office peut intervenir sous la forme d’une décision individuelle auto- matisée selon l’art. 21 de la loi fédérale du 25 septembre 2020 sur la protection des données 144 .

Loi fédérale du 28 septembre 2012 sur l’assistance administrative internationale en matière fiscale 145

Art. 5a, 2 e phrase ... Ces dispositions doivent offrir au moins le même niveau de protection que la loi fédérale du 25 septembre 2020 sur la protection des données 146 .

Loi fédérale 18 décembre 2015 sur l’échange international automatique de renseignements en matière fiscale 147

Art. 6, 2 e phrase ... Ces dispositions doivent offrir au moins le même niveau de protection que la loi fédérale du 25 septembre 2020 sur la protection des données 148 et la présente loi.

Loi du 30 septembre 2016 sur l’énergie 149

Art. 56, al. 1, phrase introductive 1 Les informations, les données personnelles et les données concernant des per- sonnes morales nécessaires aux analyses et au suivi visés à l’art. 55 ainsi qu’aux fins d’évaluation statistique sont fournies à l’OFEN, à sa demande, par les services suivants:

143 RS 641.81 144 RS 235.1 145 RS 651.1 146 RS 235.1 147 RS 653.1 148 RS 235.1 149 RS 730.0

Protection des données. LF FF 2020 7465 Art. 58, titre, al. 1 et 3 Traitement des données personnelles et des données concernant des personnes morales 1 Dans les limites des objectifs visés par la présente loi, les autorités fédérales com- pétentes et l’organe d’exécution visé à l’art. 64 peuvent traiter des données per- sonnelles et des données concernant des personnes morales, y compris les données sensibles concernant des sanctions et les procédures correspondantes. 3 Le Conseil fédéral définit les données personnelles ainsi que les données concer- nant des personnes morales dont le traitement est autorisé et en fixe la durée de conservation. Art. 59, titre, al. 1, phrases introductives, et 2, phrase introductive Communication de données personnelles et de données concernant les personnes morales 1 Aux fins de transparence et d’information des consommateurs finaux, le Conseil fédéral peut obliger les entreprises de la branche énergétique à publier des données personnelles et des données concernant des personnes morales sous une forme anonymisée ou à les communiquer aux autorités fédérales compétentes. Cette obli- gation peut notamment porter sur les données suivantes: 2 Les autorités fédérales compétentes peuvent publier les données anonymisées visées à l’al. 1 sous une forme adéquate si les conditions suivantes sont réunies:

Loi du 21 mars 2003 sur l’énergie nucléaire 150

Art. 24, al. 2 2 Ce contrôle peut donner lieu au traitement de données sur la santé et l’aptitude psychique de ces personnes ainsi que de données sur leur mode de vie importantes pour la sécurité.

Loi du 24 juin 1902 sur les installations électriques 151

Art. 25a, al. 2 2 Elles peuvent procéder aux échanges de données nécessaires à l’exécution uni- forme de la présente loi.

150 RS 732.1 151 RS 734.0

Protection des données. LF FF 2020 7466 59. Loi du 23 mars 2007 sur l’approvisionnement en électricité 152

Art. 17c, al. 1 1 La loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 153

s’applique au traitement de données personnelles en lien avec des systèmes de mesure, de commande ou de réglage intelligents. La LPD s’applique par analogie aux traitements de données concernant des personnes morales. Art. 27, al. 1 1 Dans les limites des objectifs de la présente loi, l’OFEN et l’ElCom traitent des données personnelles et des données concernant des personnes morales, y compris les données sensibles concernant des poursuites ou des sanctions pénales (art. 29).

Loi fédérale du 19 décembre 1958 sur la circulation routière 154

Art. 76b, al. 3, 2 e phrase

3 ... Elles sont habilitées à traiter ou à faire traiter les données person- nelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir ces tâches.

Loi fédérale du 20 décembre 1957 sur les chemins de fer 155

Art. 16a Traitement de données par les concessionnaires 1 Pour leurs activités relevant de la concession et de l’autorisation, les entreprises sont soumises aux art. 33 à 42 de la loi fédérale du 25 septembre 2020 sur la protec- tion des données (LPD) 156 . Si elles agissent selon le droit privé, elles sont assujetties aux art. 30 à 32 LPD. 2 Elles peuvent traiter des données personnelles, y compris des données sensibles, si cela est nécessaire à la sécurité de l’infrastructure, en particulier sa construction et son exploitation. Il en va de même des tiers qui assurent des tâches incombant au conces- sionnaire. Ce dernier répond du respect de la législation sur la protection des données. Art. 37, al. 8 8 L’art. 9 LPD 157 est applicable.

152 RS 734.7 153 RS 235.1 154 RS 741.01 155 RS 742.101 156 RS 235.1 157 RS 235.1

Protection des données. LF FF 2020 7467

Loi du 20 mars 2009 sur le transport des voyageurs 158

Art. 54 Traitements de données par les concessionnaires 1 Pour leurs activités relevant de la concession et de l’autorisation, les entreprises sont soumises aux art. 33 à 42 de la loi fédérale du 25 septembre 2020 sur la protec- tion des données (LPD) 159 . Si elles agissent selon le droit privé, elles sont assujetties aux art. 30 à 32 LPD. 2 Elles peuvent traiter des données sensibles si cela est nécessaire au transport des voyageurs ou à l’exploitation ou encore à la sécurité des voyageurs, de l’exploitation ou de l’infrastructure. Il en va de même des tiers qui assurent des tâches incombant à l’entreprise titulaire d’une concession ou d’une autorisation au sens des art. 6 à 8. L’entreprise répond du respect de la législation sur la protection des données.

Loi fédérale du 18 juin 2010 sur les organes de sécurité des entreprises de transports publics 160

Art. 6, al. 3 3 Les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données 161 , notamment les art. 33 à 42 et 49 à 53, sont applicables au surplus.

Loi du 4 octobre 1963 sur les installations de transport par conduites 162

Art. 47a, al. 2

2 Elles peuvent procéder aux échanges de données nécessaires à l’appli- cation uniforme de la présente loi.

158 RS 745.1 159 RS 235.1 160 RS 745.2 161 RS 235.1 162 RS 746.1

Protection des données. LF FF 2020 7468 65. Loi fédérale du 21 décembre 1948 sur l’aviation 163

Art. 21c, al. 1, let. b, et 1 bis

1 Les données suivantes relatives à des événements liés à la sûreté et aux individus potentiellement dangereux impliqués dans ces événe- ments sont traitées dans le système d’information: b. données personnelles nécessaires pour évaluer la menace pe- sant sur le trafic aérien commercial international, y compris les données sensibles, comme des informations sur l’état de santé, les condamnations ou les procédures pénales ou admi- nistratives en cours et sur l’appartenance à des groupes crimi- nels ou terroristes; 1bis Fedpol est habilité à faire du profilage, y compris du profilage à risque élevé, au sens de la loi fédérale du 25 septembre 2020 sur la protection des données 164 pour évaluer la menace que représentent les personnes visées à l’al. 1. Art. 107a, al. 2, phrase introductive, 4, 2 e phrase, et 5

2 Ils traitent de données personnelles, y compris des données sensi- bles, concernant: 4 ... Ne concerne que le texte allemand. 5 Pour accomplir les tâches qui leur incombent, les services qui traitent les données peuvent communiquer des données personnelles, y compris des données sensibles, aux autorités suisses et étrangères chargées de tâches correspondantes ainsi qu’à des organisations internationales, pour autant que les conditions de l’art. 16 de la loi fédérale du 25 septembre 2020 sur la protection des données 165 soient respectées.

Loi fédérale du 18 mars 2016 sur la surveillance de la correspondance par poste et télécommunication 166

Art. 4 Traitement de données personnelles Le Service, les autorités habilitées à ordonner une surveillance, les autorités habili- tées à autoriser une surveillance de même que les fournisseurs de services postaux et de télécommunication peuvent traiter les données personnelles, y compris des don- nées sensibles, qui leur sont nécessaires pour ordonner, autoriser et mettre en œuvre la surveillance.

163 RS 748.0 164 RS 235.1 165 RS 235.1 166 RS 780.1

Protection des données. LF FF 2020 7469 Art. 10, al. 1, let. b 1 En ce qui concerne les données collectées dans le cadre d’une procédure pénale ou de l’exécution d’une demande d’entraide judiciaire, sont applicables: b. au droit d’accès aux données après la clôture de la procédure: la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 167 si l’autorité saisie de la demande d’entraide judiciaire est une autorité fédérale, ou le droit cantonal si cette autorité est une autorité cantonale. Art. 13 Responsabilité Les autorités ayant accès au système de traitement en vertu de l’art. 9 sont les res- ponsables du traitement des données collectées lors de surveillances relevant de leur compétence.

Loi du 17 décembre 2010 sur la poste 168

Art. 26, al. 1, 2, phrase introductive, et 3, 2 e phrase 1 La PostCom et les autres autorités chargées de l’exécution de la présente loi trans- mettent aux autres autorités de la Confédération et des cantons les données dont celles-ci ont besoin pour accomplir les tâches qui leur incombent de par la loi, y compris les données sensibles acquises au cours de procédures administratives ou de procédures pénales administratives. 2 Sous réserve d’accords internationaux comportant des dispositions contraires, la PostCom ne peut transmettre des données à des autorités étrangères chargées de la surveillance dans le domaine postal, y compris des données sensibles acquises au cours de procédures administratives ou de procédures pénales administratives, qu’aux conditions suivantes: 3 ... Les données sensibles acquises au cours de procédures administratives ou de procédures pénales administratives en font partie. Art. 28 Traitement de données personnelles En vue de l’accomplissement de leurs tâches légales, la PostCom et l’organe de conciliation peuvent traiter des données personnelles, y compris des données sen- sibles concernant des poursuites ou des sanctions pénales.

167 RS 235.1 168 RS 783.0

Protection des données. LF FF 2020 7470 68. Loi du 30 avril 1997 sur les télécommunications 169

Art. 13a, al. 1, 1 re phrase 1 La commission et l’office peuvent traiter les données personnelles, y compris les données sur les poursuites et sanctions administratives ou pénales, si ces données sont nécessaires à l’exécution des tâches qui leur incombent en vertu de la législa- tion sur les télécommunications. ... Art. 13b, al. 1, 2 e phrase, 2, phrase introductive, et 4, 1 re phrase 1 ... Les données sensibles acquises au cours de procédures administratives ou de procédures pénales administratives font partie des données transmises. ... 2 Sous réserve d’accords internationaux comportant des dispositions contraires, la commission et l’office ne peuvent transmettre des données à des autorités étrangères chargées de tâches de surveillance dans le domaine des télécommunications, y com- pris des données sensibles acquises au cours de procédures administratives ou de procédures pénales administratives, que si ces autorités: 4 Les autorités suisses transmettent gratuitement à la commission et à l’office les données qui peuvent être utiles à l’application de la législation sur les télécommuni- cations, y compris des données sensibles. ...

Loi fédérale du 24 mars 2006 sur la radio et la télévision 170

Art. 69f, al. 1, 2 e phrase 1 ... Le traitement des données est régi par les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 171 applicables aux organes fédéraux. Art. 88, al. 2 2 Le traitement des données est régi par les dispositions de la LPD 172 applicables aux organes fédéraux.

169 RS 784.10 170 RS 784.40 171 RS 235.1 172 RS 235.1

Protection des données. LF FF 2020 7471 70. Loi du 30 septembre 2011 relative à la recherche sur l’être humain 173

Art. 42, al. 2 2 Les données personnelles non génétiques liées à la santé ne peuvent être communi- quées à l’étranger à des fins de recherche que si les conditions visées aux art. 16 et 17 de la loi fédérale du 25 septembre 2020 sur la protection des données 174 sont remplies.

Loi du 23 juin 2006 sur les professions médicales 175

Art. 51, al. 3 3 Le registre contient les données nécessaires pour atteindre les buts visés à l’al. 2. En font aussi partie les données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données 176 .

Loi fédérale 30 septembre 2016 sur les professions de la santé 177

Art. 24, al. 2, 2 e phrase 2 ... En font aussi partie les données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données 178 .

Loi du 3 octobre 1951 sur les stupéfiants 179

Art. 3f, al. 1 1 Les autorités et les institutions chargées de veiller à l’exécution de la présente loi sont autorisées à traiter des données personnelles, y compris des données sensibles, afin de vérifier les conditions relatives au traitement des personnes dépendantes et leur suivi. Art. 18c, 2 e phrase Abrogée

173 RS 810.30 174 RS 235.1 175 RS 811.11 176 RS 235.1 177 RS 811.21 178 RS 235.1 179 RS 812.121

Protection des données. LF FF 2020 7472 74. Loi du 15 décembre 2000 sur les produits thérapeutiques 180

Art. 62a, al. 1, phrase introductive 1 Les services de la Confédération et des cantons, les centres régionaux et les tiers chargés de tâches d’exécution peuvent, dans la mesure où ils en ont besoin pour accomplir les tâches qui leur incombent aux termes de la présente loi, traiter les données sensibles suivantes: Art. 62b, al. 1 1 Suite à une pesée des intérêts, l’institut et l’Administration fédérale des douanes (AFD) sont habilités à communiquer dans le cas d’espèce au titulaire d’une auto- risation d’exploitation ou de mise sur le marché d’un médicament ou à quiconque met sur le marché un dispositif médical, des données confidentielles collectées en vertu de la présente loi, y compris des données sensibles au sens de l’art. 5, let. c, ch. 5, de la loi fédérale du 25 septembre 2020 sur la protection des données 181 , si cette mesure paraît nécessaire pour mettre au jour et combattre un trafic illégal suspecté de produits thérapeutiques.

Loi du 28 septembre 2012 sur les épidémies 182

Art. 60, al. 9, 1 re phrase 9 Le droit d’obtenir des renseignements sur les données figurant dans le système d’information et le droit de faire rectifier les données sont régies par les art. 25 et 41 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 183 . ... Art. 62, al. 1 et 3, phrase introductive et let. a et d 1 Si cette mesure leur est nécessaire pour exécuter la présente loi, l’OFSP et les autorités cantonales compétentes peuvent communiquer des données personnelles, y compris des données concernant la santé, à des autorités étrangères ou à des organi- sations supranationales ou internationales qui accomplissent des tâches similaires si l’une des conditions suivantes est remplie: a. la législation de l’État concerné ou ces organisations assurent un niveau de protection adéquat des données au sens de l’art. 16, al. 1, LPD 184 ; b. les données personnelles sont communiquées au moyen de garanties spécifi- ques au sens de l’art. 16, al. 2, let. c, LPD. 3 En dérogation à l’al. 1, il est possible de communiquer des données personnelles à l’étranger si l’une des conditions suivantes est remplie:

180 RS 812.21 181 RS 235.1 182 RS 818.101 183 RS 235.1 184 RS 235.1

Protection des données. LF FF 2020

7473

abrogée
la communication est nécessaire en l’espèce pour protéger la vie ou l’inté-

grité corporelle de la personne concernée et il n’est pas possible d’obtenir

son consentement dans un délai raisonnable.

Loi fédérale du 18 mars 2016 sur l’enregistrement des maladies oncologiques 185

Art. 7, al. 2 2 Le patient peut demander au responsable du traitement si des données le concer- nant sont traitées et, si tel est le cas, de quelles données il s’agit. Il n’est pas permis de restreindre son droit d’accès.

Loi du 13 mars 964 sur le travail 186

Art. 46, 2 e phrase ... Pour le surplus, la loi fédérale du 25 septembre 2020 sur la protection des don- nées 187 est applicable.

Loi du 17 juin 2005 sur le travail au noir 188

Titre précédant l’art. 17 Section 11 Traitement de données et dispositions pénales Art. 17, titre et al. 1, phrase introductive, 2 et 4 Traitement de données personnelles 1 L’organe de contrôle cantonal peut traiter les données personnelles suivantes: 2 Les autorités cantonales compétentes chargées des sanctions visées à l’art. 13 sont habilitées à traiter les données des personnes physiques qui se sont vu infliger une sanction administrative ou pénale. 4 Les dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données 189 relatives à l’exactitude des données et au droit d’accès sont applicables.

185 RS 818.33 186 RS 822.11 187 RS 235.1 188 RS 822.41 189 RS 235.1

Protection des données. LF FF 2020 7474 Art. 17a Traitement de données concernant des personnes morales 1 L’organe de contrôle cantonal peut traiter les données suivantes concernant des personnes morales: a. données contenues dans les procès-verbaux, dans la mesure où les contrôles ont mis au jour un ou plusieurs cas de non-respect des obligations d’annonce et d’autorisation mentionnées à l’art. 6; b. données communiquées à l’organe de contrôle cantonal par les autorités compétentes dans le domaine dont relève le contrôle. 2 Les autorités cantonales compétentes chargées des sanctions visées à l’art. 13 sont habilitées à traiter les données concernant des personnes morales qui se sont vu infli- ger une sanction administrative ou pénale.

Loi fédérale du 6 octobre 1989 sur le service de l’emploi et la location de services 190

Art. 33a, al. 1, phrase introductive, et 3 1 Les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter les données personnelles qui leur sont nécessaires pour accomplir les tâches que leur assigne la présente loi, notam- ment pour: 3 Au surplus, les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter des données person- nelles qui permettent d’évaluer la situation personnelle et économique des bénéfi- ciaires de prestations de conseil au sens de la présente loi. Art. 35, al. 2, 3 bis et 5, let. d 2 Ce système d’information peut contenir des données personnelles, y compris des données sensibles au sens de l’art. 33a, al. 2. 3bis L’échange de données personnelles, y compris les données sensibles, entre les systèmes d’information du service public de l’emploi et ceux de l’assurance-chôma- ge (art. 83, al. 1, let. i, de la loi sur l’assurance-chômage) est autorisé dans la mesure où il est nécessaire à l’exécution de la présente loi et de la loi sur l’assurance- chômage. 5 Le Conseil fédéral règle: d. l’accès aux données, notamment en déterminant les utilisateurs du système autorisés à traiter des données sensibles;

190 RS 823.11

Protection des données. LF FF 2020 7475 Art. 35b Registre des entreprises de placement et de location de services autorisées 1 Avec l’aide des autorités cantonales compétentes, le SECO gère, dans un système d’information approprié, un registre des entreprises de placement et de location de services autorisées et de leurs responsables. 2 Ce registre peut contenir des données sensibles sur le retrait, l’annulation ou le refus d’une autorisation.

Loi fédérale du 20 décembre 1946 sur l’assurance-vieillesse et survivants 191

Art. 49a, al. 1, phrase introductive, et 2 1 Les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter les données personnelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir les tâches qui leur sont assignées par la présente loi, notamment pour: 2 Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des données personnelles, notamment des données permettant d’évaluer la santé, la gravité de l’affection physique ou psychique, les besoins et la situation économique de la personne concernée.

Loi fédérale du 25 juin 1982 sur la prévoyance professionnelle vieillesse, survivants et invalidité 192

Art. 85a, al. 1, phrase introductive, et 2 1 Les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter les données personnelles, y com- pris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assigne la présente loi, notamment pour: 2 Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des données personnelles, notamment des données permettant d’évaluer la santé, la gravi- té de l’affection physique ou psychique, les besoins et la situation économique de la personne assurée.

191 RS 831.10 192 RS 831.40

Protection des données. LF FF 2020 7476 82. Loi fédérale du 18 mars 1994 sur l’assurance-maladie 193

Art. 84, al. 1, phrase introductive, et 2 1 Les organes chargés d’appliquer la présente loi ou la LSAMal 194 ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter les données person- nelles, y compris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assignent la présente loi ou la LSAMal, notamment pour: 2 Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des données personnelles, notamment des données permettant d’évaluer la santé, la gravi- té de l’affection physique ou psychique, les besoins et la situation économique de la personne assurée.

Loi fédérale du 20 mars 1981 sur l’assurance-accidents 195

Art. 96, al. 1, phrase introductive, et 2 1 Les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter les données personnelles, y com- pris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assigne la présente loi, notamment pour: 2 Pour accomplir ces tâches, ils sont en outre habilités à faire du profilage, y compris du profilage à risque élevé, au sens de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 196 et à rendre des décisions individuelles automatisées selon l’art. 21 LPD.

Loi fédérale du 19 juin 1992 sur l’assurance militaire 197

Art. 94a, al. 1, phrase introductive, et 2 1 Les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter les données personnelles, y com- pris les données sensibles, qui leur sont nécessaires pour accomplir les tâches que leur assigne la présente loi, notamment pour: 2 Pour accomplir ces tâches, ils sont en outre habilités à faire du profilage, y compris du profilage à risque élevé, au sens de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 198 et à rendre des décisions individuelles automatisées selon l’art. 21 LPD.

193 RS 832.10 194 RS 832.12 195 RS 832.20 196 RS 235.1 197 RS 833.1 198 RS 235.1

Protection des données. LF FF 2020 7477

Loi du 25 juin 1982 sur l’assurance-chômage 199

Art. 96b, al. 1, phrase introductive, et 2 1 Les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller l’exécution sont habilités à traiter ou à faire traiter les données personnelles, y com- pris les données sensibles, qui leur sont nécessaires pour accomplir ces tâches que leur assigne la présente loi, notamment pour: 2 Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des données personnelles, notamment des données permettant d’évaluer la situation personnelle et économique des bénéficiaires de prestations de l’assurance-chômage. Art. 96c, al. 2, phrase introductive, et 2 bis

2 Ils peuvent accéder aux données personnelles, y compris aux données sensibles, qui leur sont nécessaires pour accomplir les tâches suivantes, que leur assigne la présente loi: 2bis L’échange de données personnelles, y compris les données sensibles, entre les systèmes d’information de l’assurance-chômage (art. 83, al. 1, let. i) et du service public de l’emploi (art. 35 LSE 200 ) est autorisé dans la mesure où il est nécessaire à l’exécution de la présente loi et de la LSE.

Loi du 1 er juillet 1966 sur les épizooties 201

Art. 54a, al. 3 3 Dans le cadre de leurs tâches légales, les autorités d’exécution peuvent traiter des données sensibles et des profils d’exploitation.

Loi du 20 juin 1986 sur la chasse 202

Art. 22, al. 3, 1 re et 2 e phrases 3 Il peut conserver ces données personnelles. À l’échéance du retrait de l’autorisa- tion, il les efface et détruit les décisions cantonales correspondantes. ...

199 RS 837.0 200 RS 823.11 201 RS 916.40 202 RS 922.0

Protection des données. LF FF 2020 7478 88. Loi fédérale du 12 juin 2009 sur la sécurité des produits 203

Art. 13, al. 1 1 Les organes d’exécution sont habilités à traiter des données personnelles, y com- pris les informations concernant les poursuites et les sanctions administratives et pénales.

Loi fédérale du 21 mars 2014 sur les produits de construction 204

Art. 32, al. 2 2 Les organes de surveillance sont habilités à traiter des données personnelles, y compris les données relatives aux poursuites et sanctions administratives ou pénales. Ils saisissent ces données dans la banque de données centrale relative à l’exécution de la surveillance du marché.

Loi fédérale du 29 septembre 2017 sur les jeux d’argent 205

Art. 65, al. 2 et 2 bis

Si elle a des motifs suffisants de soupçonner une manipulation de compétition

sportive, elle peut notamment communiquer les données suivantes, y compris des

données sensibles relatives à l’existence de procédures pénales ou administratives,

aux exploitants et organisations:

données personnelles concernant des parieurs;
données personnelles permettant d’évaluer le comportement des personnes

concernées en matière de paris sportifs.

2bis

Si le soupçon s’avère infondé, les données doivent être immédiatement effacées.

Art. 101, al. 1

Pour l’accomplissement de ses tâches légales, la CFMJ peut traiter des données

personnelles, y compris des données sensibles relatives à la santé, aux mesures

d’aide sociale, aux poursuites ou sanctions pénales et administratives, ainsi que des

données personnelles permettant d’évaluer l’activité d’exploitants de jeux illégaux.

Art. 110 Traitement des données

Pour l’accomplissement de ses tâches légales, l’autorité intercantonale peut traiter

des données personnelles, y compris des données sensibles relatives à la santé, aux

203 RS 930.11 204 RS 933.0 205 RS 935.51

Protection des données. LF FF 2020 7479 mesures d’aide sociale, aux poursuites ou sanctions pénales et administratives, ainsi que des données personnelles permettant d’évaluer l’activité d’exploitants de jeux illégaux.

Loi du 18 mars 2011 sur les professions de la psychologie 206

Art. 40, al. 1 1 Le registre contient les données nécessaires à la poursuite des buts fixés. Les données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données 207 en font partie.

Loi fédérale du 27 septembre 2019 sur les services d’identification électronique 208

Art. 16, al. 2, 2 e phrase 2 ... Le traitement de données par un sous-traitant au sens de l’art. 9 de la loi fédérale du 25 septembre 2020 sur la protection des données 209 est réservé. Art. 30, al. 2 2 Dans le cadre de l’accomplissement de ses tâches légales, elle peut traiter des données personnelles, y compris des données sensibles concernant des poursuites et sanctions pénales.

Loi fédérale du 6 octobre 1995 sur les entraves techniques au commerce 210

Art. 20b, al. 1 1 Les organes d’exécution sont habilités à traiter des données personnelles, y com- pris les informations concernant les poursuites et les sanctions administratives et pénales.

206 RS 935.81 207 RS 235.1 208 FF 2019 6227 209 RS 235.1 210 RS 946.51

Protection des données. LF FF 2020 7480 94. Loi du 3 octobre 2003 sur la Banque nationale 211

Art. 14, al. 3 3 L’administration fédérale des contributions fournit à la Banque nationale, pour que celle-ci accomplisse ses tâches statistiques, les bases et les résultats de ses travaux statistiques dans le domaine de la TVA et, au besoin, des données concernant la TVA provenant de ses dossiers et relevés. La Banque nationale ne peut pas trans- mettre ces données, nonobstant les art. 16, al. 4 et 4 bis , 50a et 50b de la présente loi et l’art. 39 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD) 212 . Art. 16, al. 4 bis et 5 4bis La Banque nationale est autorisée, à des fins statistiques, à communiquer les données collectées sous une forme non agrégée à l’office fédéral de la statistique. Ce dernier n’est pas autorisé à transmettre ces données sans le consentement de la Banque nationale, nonobstant l’art. 39 LPD 213 . 5 Au surplus, les données concernant les personnes physiques sont régies par la LPD. Titre précédant l’art. 49 Section 6 Obligation de garder le secret, traitement de données personnelles et de données concernant des personnes morales, échange d’informations et responsabilité Art. 49a Traitements de données personnelles et de données concernant des personnes morales La Banque nationale peut traiter des données personnelles, y compris des données sensibles, ainsi que des données concernant des personnes morales pour l’accom- plissement de ses tâches légales.

Loi du 10 octobre 1997 sur le blanchiment d’argent 214

Art. 29, al. 2, 2 e phrase 2 ... Ces données comprennent notamment des informations financières ainsi que d’autres données sensibles collectées dans des procédures pénales, pénales adminis- tratives ou administratives, y compris dans des procédures pendantes.

211 RS 951.11 212 RS 235.1 213 RS 235.1 214 RS 955.0

Protection des données. LF FF 2020 7481 Art. 33 Principes Le traitement des données personnelles est régi par la loi fédérale du 25 septembre 2020 sur la protection des données 215 . Art. 34, titre et al. 1 à 3 Dossiers et banques de données en rapport avec l’obligation de communiquer 1 Les intermédiaires financiers gèrent des dossiers ou des banques de données sépa- rés contenant tous les documents se rapportant aux communications. 2 Ils ne peuvent transmettre des données de ces dossiers et de ces banques de don- nées qu’à la FINMA, à la CFMJ, à l’autorité intercantonale de surveillance et d’exécution visée à l’art. 105 LJAr 216 , à l’organisme de surveillance, aux organismes d’autorégulation, au bureau de communication et aux autorités de poursuite pénale. 3 Les personnes concernées n’ont pas de droit d’accès au sens de l’art. 25 de la loi fédérale du 25 septembre 2020 sur la protection des données 217 , d’une part, entre le moment où des informations sont communiquées en vertu de l’art. 9, al. 1, de la présente loi ou en vertu de l’art. 305 ter , al. 2, CP 218 , et celui où le bureau de commu- nication informe l’intermédiaire financier conformément à l’art. 23, al. 5 ou 6, d’autre part, tant que dure le blocage des avoirs prévu à l’art. 10.

Loi du 22 juin 2007 sur la surveillance des marchés financiers 219

Art. 13a, al. 1, phrases introductives et let. a et a bis , et 2, phrase introductive 1 La FINMA traite sur papier ou dans un ou plusieurs systèmes d’information les données de son personnel et de candidats à un poste qui sont nécessaires à l’accomplissement des tâches relevant de la présente loi. Elle peut confier le traite- ment de ces données à un sous-traitant. Les données personnelles traitées concernent notamment: a. les procédures de recrutement; a bis . la création, l’exécution et la fin des rapports de travail; 2 Elle peut traiter les données de son personnel nécessaires à l’exécution des tâches visées à l’al. 1, y compris les données sensibles, à savoir:

215 RS 235.1 216 RS 935.51 217 RS 235.1 218 RS 311.0 219 RS 956.1

Protection des données. LF FF 2020

7482

Art. 23 Traitement de données

Dans le cadre de la surveillance prévue par la présente loi et les lois sur les mar-

chés financiers, la FINMA peut traiter ou faire traiter des données personnelles, y

compris des données sensibles.

Elle peut le faire en particulier pour:

le contrôle de l’assujetti;
la surveillance;
la conduite de procédures;
l’évaluation des garanties d’une activité irréprochable;
l’évaluation du comportement d’une personne qui exerce une activité pour

l’assujetti ou sur le marché financier;

f. l’entraide administrative et judiciaire nationale et internationale.

Elle est habilitée à faire du profilage, y compris du profilage à risque élevé, au sens

de la loi fédérale du 25 septembre 2020 sur la protection des données

220

pour

l’évaluation du comportement d’une personne selon l’al. 2, let. e.

Elle règle les modalités.

Insérer avant le titre du chapitre 3

Art. 23a Registre public

La FINMA tient un registre des assujettis. Ce registre est accessible au public sous

forme électronique.

Loi fédérale du 19 mars 1976 sur la coopération au développement et l’aide humanitaire internationales 221

Art. 13a, al. 1, phrase introductive et let. g 1 L’unité administrative compétente peut notamment traiter, s’agissant des personnes chargées d’appliquer des mesures ou concernées par des mesures prises en vertu de la présente loi, les données suivantes: g. abrogée

220 RS 235.1 221 RS 974.0

Protection des données. LF FF 2020 7483 98. Loi fédérale du 30 septembre 2016 sur la coopération avec les États d’Europe de l’Est 222

Art. 15, al. 2, phrase introductive 2 II peut traiter les données suivantes relatives au personnel, y compris les données sensibles, si elles sont nécessaires à l’exécution des tâches mentionnées à l’al. 1:

222 RS 974.1

Protection des données. LF FF 2020 7484 Annexe 2 (art. 73) Coordination avec d’autres actes

Arrêté fédéral du 13 juin 2008 concernant l’approbation et la mise en œuvre des conventions relatives à la responsabilité civile dans le domaine de l’énergie nucléaire

Quel que soit l’ordre dans lequel la présente modification de la loi fédérale du 18 décembre 1987 sur le droit international privé (LDIP) 223 (annexe 1, ch. II/25) ou la modification de la LDIP dans le cadre de l’arrêté fédéral du 13 juin 2008 concer- nant l’approbation et la mise en œuvre des conventions relatives à la responsabilité civile dans le domaine de l’énergie nucléaire (annexe, ch. II/3, de la loi fédérale du 13 juin 2008 sur la responsabilité civile en matière nucléaire) 224 entrent en vigueur, à l’entrée en vigueur du dernier des deux actes ou à leur entrée en vigueur simulta- née, les dispositions ci-après de la LDIP ont la teneur suivante: Art. 130, al. 3

3 Les règles de compétence prévues à l’al. 2 s’appliquent par analo- gie aux actions qui ne relèvent pas de la Convention de Paris. Dans un tel cas, si ni le lieu de l’accident ni l’installation nucléaire ne se situent en Suisse, l’action peut également être intentée dans le canton sur le territoire duquel le dommage est survenu. Si des dommages se sont produits dans différents cantons, le plus affecté par les consé- quences de l’accident est compétent. Art. 130a b. Droit d’accès ou de consultation par rapport à un traite- ment de données personnelles Les actions en exécution du droit d’accès ou de consultation par rapport à un traitement de données personnelles peuvent être inten- tées devant les tribunaux mentionnés à l’art. 129.

Loi du 17 juin 2016 sur le casier judiciaire
À l’entrée en vigueur de la présente loi, les dispositions ci-après de la loi fédérale du 17 juin 2016 sur le casier judiciaire (LCJ) 225 ont la teneur suivante: Art. 3, al. 1 1 L’Office fédéral de la justice est l’organe fédéral responsable de VOSTRA.

223 RS 291 224 FF 2008 4843 225 FF 2016 4703

Protection des données. LF FF 2020 7485 Art. 12, al. 2 2 Les données pénales de VOSTRA ne peuvent pas être conservées dans une autre banque de données, à moins que cela ne soit nécessaire pour motiver une décision prise, une ordonnance rendue ou une étape de procédure engagée. Art. 25, al. 1 1 Lorsqu’une autorité consulte en ligne les données pénales du casier judiciaire, le nom de cette autorité, la date et l’heure de la consultation, son but, les données pénales consultées et les personnes auxquelles elles se rapportent sont auto- matiquement journalisés dans VOSTRA. 2. À l’entrée en vigueur de la LCJ 226 , les dispositions ci-après du code pénal (annexe 1, ch. II/26, de la présente loi) ont la teneur suivante: Art. 365, al. 1, 1 re phrase, et 367, al. 3 Sans objet ou abrogés

Loi fédérale du 20 décembre 2019 sur la protection de la population et sur la protection civile

À l’entrée en vigueur de la présente loi, la disposition ci-après de la loi fédérale du 20 décembre 2019 sur la protection de la population et sur la protection civile 227 a la teneur suivante: Art. 93, al. 1, 2 e phrase introductive et let. b, et 2, 2 e phrase introductive et let. b 1 ... Il peut traiter les données suivantes: b. les données personnelles qui permettent de déterminer l’affectation à une fonction de base ou le potentiel de cadre. 2 ... Il peut traiter à cette fin les données suivantes: b. les données personnelles permettant de déterminer le potentiel de cadre ou de spécialiste.

226 FF 2016 4703 227 FF 2019 8215

Protection des données. LF FF 2020 7486 4. Modification du 19 juin 2020 de la loi du 25 juin 1982 sur l’assurance-chômage

Quel que soit l’ordre dans lequel la présente modification de la loi fédérale du 6 octobre 1989 sur le service de l’emploi et la location de services (LES) 228 (annexe 1, ch. II/79) ou la modification de la LSE dans le cadre de la modification du 19 juin 2020 de la loi du 25 juin 1982 sur l’assurance-chômage (annexe, ch. 1) 229 entrent en vigueur, à l’entrée en vigueur du dernier des deux actes ou à leur entrée en vigueur simultanée, la disposition ci-après de la LSE a la teneur suivante: Art. 35, al. 2, 3 bis et 5, let. d 2 Des données personnelles, y compris des données sensibles au sens de l’art. 33a, al. 2, peuvent être traitées dans le système d’information visé à l’al. 1, let. a. 3bis L’échange de données personnelles, y compris de données sensibles, entre les systèmes d’information du service public de l’emploi et ceux de l’assurance- chômage est autorisé dans la mesure où il est nécessaire à l’exécution de la présente loi et de la LACI. 5 Le Conseil fédéral règle: d. l’étendue des droits d’accès et de traitement de données personnelles, y compris des données sensibles, octroyés aux personnes, aux services et aux organes mentionnés aux al. 3 et 3 ter ;
Quel que soit l’ordre dans lequel la présente modification de la loi du 25 juin 1982 sur l’assurance-chômage (LACI) 230 (annexe 1, ch. II/85) ou la modification du 19 juin 2020 de la LACI (ch. I) 231 entrent en vigueur, à l’entrée en vigueur du der- nier des deux actes ou à leur entrée en vigueur simultanée, la disposition ci-après de la LACI a la teneur suivante: Art. 96c, al. 2 et 2 bis

2 Abrogé 2bis L’échange de données personnelles, y compris de données sensibles, entre les systèmes d’information de l’assurance-chômage (art. 83, al. 1 bis ) et ceux du service public de l’emploi (art. 35 LSE) est autorisé dans la mesure où il est nécessaire à l’exécution de la présente loi et de la LSE.

228 RS 823.11 229 FF 2020 5517 230 RS 837.0 231 FF 2020 5517

Protection des données. LF FF 2020 7487 5. Modification du 21 juin 2019 de la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales

Quel que soit l’ordre dans lequel la présente modification de la loi fédérale du 20

décembre 1946 sur l’assurance-vieillesse et survivants (LAVS)

232

(annexe 1, ch.

II/80) ou la modification de la LAVS dans le cadre de la modification du 21 juin

2019 de la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assu-

rances sociales (annexe, ch. 1)

233

entrent en vigueur, à l’entrée en vigueur du der-

nier des deux actes ou à leur entrée en vigueur simultanée, les dispositions ci-après

de la LAVS ont la teneur suivante:

Art. 49a Systèmes d’information

Le Conseil fédéral peut obliger les organes d’exécution à utiliser des systèmes

d’information développés, après consultation des organes concernés, en vue de

l’exécution des tâches définies à l’annexe II de l’Accord du 21 juin 1999 entre la

Confédération suisse, d’une part, et la Communauté européenne et ses États

membres, d’autre part, sur la libre circulation des personnes9

234

(accord sur la libre

circulation des personnes) et d’autres conventions internationales en matière de

sécurité sociale.

Art. 49b Traitement de données personnelles

Les organes chargés d’appliquer la présente loi ou d’en contrôler ou surveiller

l’exécution sont habilités à traiter ou à faire traiter les données personnelles, y compris

les données sensibles, qui leur sont nécessaires pour accomplir les tâches qui leur sont

assignées par la présente loi ou en vertu d’accords internationaux, notamment pour:

calculer et percevoir les cotisations;
établir le droit aux prestations, les calculer, les allouer et les coordonner avec

celles d’autres assurances sociales;

c. établir le droit à des subventions, les calculer, les verser et en contrôler

l’usage;

d. faire valoir une prétention récursoire contre le tiers responsable;

e. surveiller l’exécution de la présente loi;

f. établir des statistiques;

g. attribuer ou vérifier le numéro d’assuré AVS (numéro AVS).

Pour accomplir ces tâches, ils sont en outre habilités à traiter ou à faire traiter des

données personnelles, notamment des données permettant d’évaluer la santé, la gravité

de l’affection physique ou psychique, les besoins et la situation économique de la

personne concernée.

232 RS 831.10 233 FF 2019 4299 234 RS 0.142.112.681

Protection des données. LF FF 2020 7488

Modification du 19 juin 2020 de la loi du 1 er juillet 1966 sur les épizooties

Quel que soit l’ordre dans lequel la présente modification de la loi du 1 er juillet 1966 sur les épizooties (LFE) 235 (annexe 1, ch. II/86) ou la modification du 19 juin 2020 de la LFE (ch. 1) 236 entrent en vigueur, à l’entrée en vigueur du dernier des deux actes ou à leur entrée en vigueur simultanée, la disposition ci-après de la LFE a la teneur suivante: Art. 54a Abrogé

235 RS 916.40 236 FF 2020 5401

Loi fédérale sur la protection des données (LPD)

Poursuivez vos recherches dans ChatGPT ou Claude