1. Protection des données personnelles

Les autorités fédérales compétentes ne sont en droit de communiquer des données personnelles que s’il existe une base légale au sens de l’art. 36, al. 1, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)⁵⁵⁷ ou dans les cas suivants:⁵⁵⁸

a.

la communication de données personnelles est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers;

b.

la personne concernée a rendu ses données personnelles accessibles à tout un chacun et ne s’est pas expressément opposée à la communication.

¹ La communication de données personnelles aux autorités compétentes des États qui sont liés à la Suisse par l’un des accords d’association à Schengen (États Schengen) ne doit pas être soumise à des règles de protection des données personnelles plus strictes que celles prévues pour la communication aux autorités pénales suisses.

²Les lois spéciales qui prévoient des règles de protection des données personnelles plus strictes pour la communication de données personnelles aux autorités compétentes étrangères ne s’appliquent pas à la communication aux autorités compétentes des États Schengen.

¹ Aucune donnée personnelle ne peut être communiquée à l’autorité compétente d’un État qui n’est pas lié à la Suisse par l’un des accords d’association à Schengen (État tiers) ou à un organisme international si la personnalité de la personne concernée devait s’en trouver gravement menacée, notamment du fait de l’absence d’un niveau de protection adéquat.

² Un niveau de protection adéquat est assuré par:

a.

la législation de l’État tiers lorsque l’Union européenne l’a constaté par voie de décision;

b.

un traité international;

c.

des garanties spécifiques.

³ Si l’autorité qui communique les données est une autorité fédérale, elle informe le Préposé fédéral à la protection des données et à la transparence (PFPDT) des catégories de communications de données personnelles effectuées sur la base de garanties spécifiques au sens de l’al. 2, let. c. Chaque communication est documentée.⁵⁶¹

⁴ En dérogation à l’al. 1, des données personnelles peuvent être communiquées à l’autorité compétente d’un État tiers ou à un organisme international lorsque la communication est, en l’espèce, nécessaire:

a.

pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers;

b.

pour parer à un danger immédiat et sérieux pour la sécurité publique d’un État Schengen ou d’un État tiers;

c.

pour prévenir, constater ou poursuivre une infraction pour autant qu’aucun intérêt digne de protection prépondérant de la personne concernée ne s’oppose à la communication;

d.

à l’exercice ou à la défense d’un droit devant une autorité compétente pour prévenir, constater ou poursuivre une infraction, pour autant qu’aucun intérêt digne de protection prépondérant de la personne concernée ne s’oppose à la communication.

⁵Si l’autorité qui communique les données est une autorité fédérale, elle informe le PFPDT⁵⁶² des communications de données personnelles effectuées en vertu de l’al. 4.

¹ Les données personnelles transmises ou mises à disposition par un État Schengen ne peuvent être communiquées à l’autorité compétente d’un État tiers ou à un organisme international que si les conditions suivantes sont réunies:

a.

la communication est nécessaire pour prévenir, constater ou poursuivre une infraction;

b.

l’État Schengen qui a transmis ou mis à disposition les données personnelles a donné son accord préalable;

c.

les conditions prévues à l’art. 349c sont respectées.

² En dérogation à l’al. 1, let. b, des données personnelles peuvent être communiquées si, dans le cas d’espèce, les conditions suivantes sont réunies:

a.

l’accord préalable de l’État Schengen ne peut pas être obtenu en temps utile;

b.

la communication est indispensable pour prévenir un danger immédiat et sérieux pour la sécurité publique d’un État Schengen ou d’un État tiers ou pour protéger les intérêts essentiels d’un État Schengen.

³L’État Schengen est informé sans délai des communications effectuées en vertu de l’al. 2.

¹ Si des données personnelles ne peuvent pas être communiquées à l’autorité compétente d’un État tiers par les voies habituelles de la coopération policière, notamment dans une situation d’urgence, l’autorité compétente peut exceptionnellement les communiquer à un destinataire établi dans cet État lorsque les conditions suivantes sont réunies:

a.

la communication est indispensable à l’accomplissement d’une tâche légale de l’autorité qui communique les données;

b.

aucun intérêt digne de protection prépondérant de la personne concernée ne s’oppose à la communication.

² L’autorité compétente communique les données personnelles au destinataire en lui indiquant qu’il ne peut les utiliser pour d’autres finalités que celles qu’elle a fixées.

³ Elle informe sans délai l’autorité compétente de l’État tiers de toute communication de données personnelles, pour autant que cette information soit jugée appropriée.

⁴ Si l’autorité compétente est une autorité fédérale, elle informe sans délai le PFPDT des communications de données effectuées en vertu de l’al. 1.

⁵Elle documente toutes les communications de données personnelles. Le Conseil fédéral règle les modalités.

¹ L’autorité compétente rectifie sans retard les données personnelles inexactes.

² Elle informe immédiatement de la rectification de ces données l’autorité qui les lui a transmises ou les a mises à sa disposition ou à laquelle elles ont été communiquées.

³ Elle indique au destinataire l’actualité et la fiabilité des données personnelles qu’elle communique.

⁴ Elle communique en outre au destinataire toute information permettant de distinguer dans la mesure du possible:

a.

les différentes catégories de personnes concernées;

b.

les données personnelles fondées sur des faits de celles fondées sur des appréciations personnelles.

⁵Elle est déliée de son devoir d’informer le destinataire lorsque les informations prévues aux al. 3 ou 4 ressortent des données personnelles elles-mêmes ou des circonstances.

¹La personne concernée peut requérir du PFPDT qu’il vérifie si les éventuelles données la concernant sont traitées licitement dans les cas suivants:

a.

son droit d’être informée d’un échange de données la concernant est restreint ou différé (art. 19 et 20 LPD⁵⁶⁷);

b.

son droit d’accès est rejeté, restreint ou différé (art. 25 et 26 LPD);

c.

son droit de demander la rectification, la destruction ou l’effacement de données la concernant est rejeté partiellement ou totalement (art. 41, al. 2, let. a, LPD).⁵⁶⁸

² Une vérification ne peut être effectuée qu’à l’encontre d’une autorité fédérale assujettie à la surveillance du PFPDT.

³ Le PFPDT effectue la vérification demandée; il indique à la personne concernée soit qu’aucune donnée la concernant n’est traitée illicitement, soit qu’il a constaté une erreur relative au traitement des données personnelles et qu’il a ouvert une enquête conformément à l’art. 49 LPD.⁵⁶⁹

⁴ En cas d’erreur relative au traitement des données, il ordonne à l’autorité fédérale compétente d’y remédier.

⁵La communication visée à l’al. 3 est toujours libellée de manière identique et n’est pas motivée. Elle n’est pas sujette à recours.

¹ La personne concernée qui rend vraisemblable qu’un échange de données personnelles la concernant pourrait être contraire à des prescriptions de protection des données personnelles peut demander au PFPDT l’ouverture d’une enquête au sens de l’art. 49 LPD⁵⁷¹.⁵⁷²

² Une enquête ne peut être ouverte qu’à l’encontre d’une autorité fédérale assujettie à la surveillance du PFPDT.

³ La personne concernée et l’autorité fédérale contre laquelle une enquête a été ouverte ont qualité de partie.

⁴Les art. 50 et 51 LPD s’appliquent pour le surplus.⁵⁷³