Source: https://www.admin.ch/opc/de/classified-compilation/20190379/201903010000/comparison.html
Timestamp: 2020-07-14 04:51:19+00:00

Document:
Bundesgesetz vom 28. September 2018 über den Datenschutz im Rahmen der Anwendung des Schengen-Besitzstands in Strafsachen (Schengen-Datenschutzgesetz, SDSG)
Loi fédérale du 28 septembre 2018 sur la protection des données personnelles dans le cadre de l’application de l’acquis de Schengen dans le domaine pénal (Loi sur la protection des données Schengen, LPDS)
Art. 2 Verhältnis zu anderen Erlassen
Art. 5 Datenschutz durch Technik und datenschutzfreundliche ...
Art. 6 Rechtsgrundlagen betreffend die Bearbeitung von Perso...
Art. 7 Rechtsgrundlagen betreffend die Bekanntgabe von Perso...
Art. 8 Bekanntgabe von Personendaten ins Ausland
Art. 9 Verantwortliches Bundesorgan und Kontrolle
Art. 10 Bearbeitung durch Auftragsbearbeiter
2. Abschnitt: Pflichten der Bundesorgane und der Auftragsbea...
Art. 11 Automatisierte Einzelentscheidung
Art. 12 Verzeichnis der Bearbeitungstätigkeiten
Art. 13 Datenschutz-Folgenabschätzung
Art. 14 Konsultation des Eidgenössischen Datenschutz- und Öf...
Art. 15 Meldung von Verletzungen der Datensicherheit
Art. 16 Datenschutzverantwortliche oder -verantwortlicher
3. Abschnitt: Rechte der betroffenen Personen
Art. 17 Auskunftsrecht
Art. 18 Einschränkung des Auskunftsrechts
Art. 19 Weitere Ansprüche und Verfahren
Art. 20 Verfahren im Falle der Bekanntgabe von amtlichen Dok...
Art. 21 Beauftragter
Art. 22 Untersuchung
Art. 24 Verwaltungsmassnahmen
5. Abschnitt: Amtshilfe zwischen dem Beauftragten und auslän...
6. Abschnitt: Übergangbestimmung betreffend laufende Verfahr...
Bundesgesetz über den Datenschutz im Rahmen der Anwendung des Schengen-Besitzstands in Strafsachen
(Schengen-Datenschutzgesetz, SDSG)
vom 28. September 2018 (Stand am 1. März 2019)
gestützt auf die Artikel 54 Absatz 1, 123 und 173 Absatz 2 der Bundesverfassung1, in Ausführung der Richtlinie (EU) 2016/6802, nach Einsicht in die Botschaft des Bundesrates vom 15. September 20173,
1 Dieses Gesetz regelt die Bearbeitung von Personendaten durch Bundesorgane zum Zweck der Verhütung, Aufklärung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit:
im Rahmen der Anwendung des Schengen-Besitzstands;
im Rahmen der Anwendung internationaler Verträge, die mit der Europäischen Union oder mit Staaten, die mit der Schweiz über eines der Schengen- Assoziierungsabkommen verbunden sind (Schengen-Staaten), abgeschlossen worden sind und die bezüglich des Datenschutzes auf die Richtlinie (EU) 2016/680 verweisen.
1 Dieses Gesetz gilt nicht für die Rechte der betroffenen Personen in hängigen Verfahren vor den eidgenössischen Gerichten und in hängigen Verfahren nach der Strafprozessordnung1 oder nach dem Rechtshilfegesetz vom 20. März 19812; diese werden durch das anwendbare Verfahrensrecht geregelt.
2 Soweit in diesem Gesetz keine besonderen Vorschriften bestehen, ist das Bundesgesetz vom 19. Juni 19923 über den Datenschutz (DSG) anwendbar; die Anwendbarkeit anderer Bundesgesetze bleibt vorbehalten.
2 SR 351.1
Daten über die religiösen, weltanschaulichen und politischen Ansichten oder Tätigkeiten,
Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie,
biometrische Daten, die eine natürliche Person eindeutig identifizieren,
Daten über Massnahmen der sozialen Hilfe,
Daten über administrative oder strafrechtliche Verfolgungen und Sanktionen;
Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftlicher Lage, Gesundheit, persönlicher Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;
Verletzung der Datensicherheit: jede Verletzung der Sicherheit, die ungeachtet der Absicht oder der Widerrechtlichkeit dazu führt, dass Personendaten verloren gehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden;
automatisierte Einzelentscheidung: jede Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung, einschliesslich Profiling, beruht und die für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt;
Auftragsbearbeiter: private Person oder Bundesorgan, die oder das im Auftrag des verantwortlichen Bundesorgans Personendaten bearbeitet.
2 Im Übrigen finden die Begriffe nach Artikel 3 DSG1 Anwendung.
1 Personendaten müssen rechtmässig bearbeitet werden.
2 Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.
3 Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.
4 Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.
5 Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Sie oder er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind.
Art. 5 Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen
1 Die Bundesorgane sind verpflichtet, die Datenbearbeitung ab der Planung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, insbesondere die Grundsätze nach Artikel 4.
2 Die technischen und organisatorischen Massnahmen müssen insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie den Risiken, welche die Bearbeitung für die Grundrechte der betroffenen Personen mit sich bringt, angemessen sein.
3 Die Bundesorgane sind verpflichtet, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist.
Art. 6 Rechtsgrundlagen betreffend die Bearbeitung von Personendaten
1 Die Bundesorgane dürfen Personendaten nur bearbeiten, wenn dafür eine gesetzliche Grundlage besteht.
2 Eine Grundlage in einem Gesetz im formellen Sinn ist in folgenden Fällen erforderlich:
Es handelt sich um die Bearbeitung von besonders schützenswerten Personendaten.
Es handelt sich um die Bearbeitung von Persönlichkeitsprofilen.
Es handelt sich um ein Profiling.
Die Art und Weise der Datenbearbeitung kann zu einem schwerwiegenden Eingriff in die Grundrechte der betroffenen Person führen.
3 In Abweichung von den Absätzen 1 und 2 können die Bundesorgane Personendaten bearbeiten, wenn eine der folgenden Voraussetzungen erfüllt ist:
Die Bearbeitung ist notwendig, um das Leben oder die körperliche Unver-sehrtheit der betroffenen Person oder eines Dritten zu schützen.
Die betroffene Person hat ihre Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.
Art. 7 Rechtsgrundlagen betreffend die Bekanntgabe von Personendaten
1 Die Bundesorgane dürfen Personendaten nur bekanntgeben, wenn dafür eine gesetzliche Grundlage im Sinne von Artikel 6 Absätze 1 und 2 besteht.
2 Sie dürfen Personendaten in Abweichung von Absatz 1 im Einzelfall bekanntgeben, wenn eine der folgenden Voraussetzungen erfüllt ist:
Die Bekanntgabe der Personendaten ist für das verantwortliche Bundesorgan oder für die Empfängerin oder den Empfänger zur Erfüllung einer gesetzlichen Aufgabe unentbehrlich.
Die Bekanntgabe der Personendaten ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen.
Die betroffene Person hat ihre Personendaten allgemein zugänglich gemacht und eine Bekanntgabe nicht ausdrücklich untersagt.
3 Im Übrigen ist Artikel 19 Absätze 1bis–4 DSG1 anwendbar.
1 Für die Bekanntgabe von Personendaten an die zuständigen Behörden von Schengen-Staaten dürfen nicht strengere Datenschutzregeln gelten als für die Bekanntgabe von Personendaten an schweizerische Strafbehörden.
2 Die Bekanntgabe von Personendaten an einen Drittstaat oder an ein internationales Organ wird durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt.
2 Bearbeitet das Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit Privaten, so regelt der Bundesrat das Kontrollverfahren und die Verantwortung für den Datenschutz.
1 Die Bearbeitung von Personendaten kann einem Auftragsbearbeiter übertragen werden, wenn die Voraussetzungen nach Artikel 10a DSG1 erfüllt sind.
2 Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger schriftlicher Genehmigung des Bundesorgans einem Dritten übertragen.
2. Abschnitt: Pflichten der Bundesorgane und der Auftragsbearbeiter
1 Das Bundesorgan informiert die betroffene Person über eine ihr gegenüber ergangene automatisierte Einzelentscheidung (Art. 3 Abs. 1 Bst. d); es kennzeichnet die Entscheidung entsprechend.
2 Es gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass ihr das angewandte Verfahren mitgeteilt und die Entscheidung von einer natürlichen Person überprüft wird.
3 Absatz 2 gilt nicht, wenn der betroffenen Person gegen die Entscheidung ein Rechtsmittel zur Verfügung steht.
1 Die Bundesorgane und Auftragsbearbeiter führen ein Verzeichnis ihrer Bearbeitungstätigkeiten.
2 Die Verzeichnisse der Bundesorgane enthalten mindestens:
den Namen des Bundesorgans;
den Bearbeitungszweck;
eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten;
die Kategorien der Empfängerinnen und Empfänger;
die Aufbewahrungsdauer der Personendaten oder, wenn dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;
wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 7 DSG1;
die Angabe des Drittstaates oder des internationalen Organs, welchem Personendaten bekanntgegeben werden, sowie die vorgesehenen Garantien zum Schutz der Personendaten.
3 Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auftragsbearbeiters und des Bundesorgans, zu den Kategorien von Bearbeitungen, die im Auftrag des Bundesorgans durchgeführt werden, sowie die Angaben nach Absatz 2 Buchstabe f.
1 Das Bundesorgan erstellt vorgängig eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen kann. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann eine gemeinsame Abschätzung erstellt werden.
2 Das hohe Risiko ergibt sich, insbesondere bei Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Es liegt namentlich vor:
bei der umfangreichen Bearbeitung von besonders schützenswerten Personendaten oder von Persönlichkeitsprofilen;
bei einem Profiling.
3 Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Grundrechte.
Art. 14 Konsultation des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten
1 Ergibt sich aus der Datenschutz- Folgenabschätzung, dass die geplante Bearbeitung ein hohes Risiko für die Grundrechte der betroffenen Person zur Folge hätte, wenn das Bundesorgan keine Massnahmen träfe, so holt es vorgängig die Stellungnahme des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauftragter) ein.
2 Der Beauftragte teilt dem Bundesorgan innerhalb von zwei Monaten seine Einwände gegen die geplante Bearbeitung mit. Diese Frist kann um einen Monat verlängert werden, wenn es sich um eine komplexe Datenbearbeitung handelt.
3 Hat der Beauftragte Einwände gegen die geplante Bearbeitung, so schlägt er dem Bundesorgan geeignete Massnahmen vor.
1 Das Bundesorgan meldet dem Beauftragten so rasch wie möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Grundrechte der betroffenen Person führt.
2 In der Meldung nennt es mindestens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen, um die Verletzung zu beheben.
3 Der Auftragsbearbeiter meldet dem Bundesorgan so rasch wie möglich eine Verletzung der Datensicherheit.
4 Das Bundesorgan informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder der Beauftragte es verlangt.
5 Es kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn:
dies aufgrund überwiegender Interessen Dritter erforderlich ist;
dies aufgrund überwiegender öffentlicher Interessen, insbesondere zur Wahrung der inneren oder äusseren Sicherheit der Schweiz, erforderlich ist;
die Mitteilung der Information eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden kann;
die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert; oder
die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist.
1 Die Bundesorgane ernennen eine Datenschutzverantwortliche oder einen Datenschutzverantwortlichen. Sie können eine gemeinsame Datenschutzverantwortliche oder einen gemeinsamen Datenschutzverantwortlichen bezeichnen.
2 Die oder der Datenschutzverantwortliche muss folgende Voraussetzungen erfüllen:
Sie oder er verfügt über die erforderlichen Fachkenntnisse.
Sie oder er übt keine Tätigkeiten aus, die mit ihren oder seinen Aufgaben als Datenschutzverantwortliche oder Datenschutzverantwortlicher unvereinbar sind.
3 Die oder der Datenschutzverantwortliche hat insbesondere folgende Aufgaben:
Sie oder er unterstützt die Bundesorgane.
Sie oder er fördert die Information und die Ausbildung der Mitarbeiterinnen und Mitarbeiter.
Sie oder er wirkt beim Vollzug der Datenschutzvorschriften mit und empfiehlt Massnahmen, wenn sie oder er feststellt, dass Datenschutzvorschriften verletzt wurden.
1 Das Auskunftsrecht der betroffenen Person richtet sich nach Artikel 8 DSG1. Darüber hinaus teilt das Bundesorgan der betroffenen Person mit:
diejenigen Informationen, die für die betroffene Person erforderlich sind, damit sie ihre Rechte nach dem vorliegenden Gesetz geltend machen kann;
die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer.
2 Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.
1 Die Einschränkung des Auskunftsrechts richtet sich nach Artikel 9 Absätze 1–3 und 5 DSG1. Darüber hinaus kann das Bundesorgan die Auskunft verweigern, einschränken oder aufschieben, wenn das Auskunftsgesuch offensichtlich unbegründet oder querulatorisch ist.
1 Wer ein schutzwürdiges Interesse hat, kann vom verantwortlichen Bundesorgan verlangen, dass es:
die widerrechtliche Bearbeitung unterlässt;
die Folgen einer widerrechtlichen Bearbeitung beseitigt;
die Widerrechtlichkeit der Bearbeitung feststellt.
2 Die Gesuchstellerin oder der Gesuchsteller kann insbesondere verlangen, dass das Bundesorgan:
die betreffenden Personendaten berichtigt, löscht oder vernichtet;
seinen Entscheid, namentlich über die Berichtigung, Löschung oder Ver-nichtung, die Sperrung der Bekanntgabe nach Artikel 20 DSG1 oder den Bestreitungsvermerk nach Absatz 4 veröffentlicht oder Dritten mitteilt.
3 Statt die Personendaten zu löschen oder zu vernichten, schränkt das Bundesorgan die Bearbeitung ein, wenn:
die betroffene Person die Richtigkeit der Personendaten bestreitet und weder die Richtigkeit noch die Unrichtigkeit festgestellt werden kann;
überwiegende Interessen Dritter dies erfordern;
ein überwiegendes öffentliches Interesse, namentlich die innere oder die äussere Sicherheit der Schweiz, dies erfordert;
die Löschung oder Vernichtung der Personendaten eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden kann.
4 Kann weder die Richtigkeit noch die Unrichtigkeit der Personendaten festgestellt werden, so bringt das Bundesorgan bei den Daten einen Bestreitungsvermerk an.
5 Das Verfahren richtet sich nach dem Verwaltungsverfahrensgesetz vom 20. Dezember 19682 (VwVG). Die Ausnahmen nach den Artikeln 2 und 3 VwVG gelten nicht.
6 Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.
Art. 20 Verfahren im Falle der Bekanntgabe von amtlichen Dokumenten, die Personendaten enthalten
Solange ein Verfahren betreffend den Zugang zu amtlichen Dokumenten im Sinne des Öffentlichkeitsgesetzes vom 17. Dezember 20041, welche Personendaten enthalten, im Gange ist, kann die betroffene Person im Rahmen dieses Verfahrens die Rechte geltend machen, die ihr aufgrund von Artikel 19 des vorliegenden Gesetzes bezogen auf diejenigen Dokumente zustehen, die Gegenstand des Zugangsverfahrens sind.
1 Der Beauftragte beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.
2 Von der Aufsicht durch den Beauftragten sind ausgenommen:
die Bundesanwaltschaft, betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;
Bundesbehörden, betreffend die Bearbeitung von Personendaten im Rahmen von Verfahren der internationalen Rechtshilfe in Strafsachen.
1 Der Beauftragte eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung gegen das Bundesorgan oder den Auftragsbearbeiter, wenn Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte.
2 Er kann von der Eröffnung einer Untersuchung absehen, wenn die Verletzung der Datenschutzvorschriften von geringfügiger Bedeutung ist.
3 Das Bundesorgan oder der Auftragsbearbeiter erteilt dem Beauftragten alle Auskünfte und stellt ihm alle Unterlagen zur Verfügung, die für die Untersuchung notwendig sind. Das Auskunftsverweigerungsrecht richtet sich nach den Artikeln 16 und 17 VwVG1.
4 Hat die betroffene Person Anzeige erstattet, so informiert der Beauftragte sie über die gestützt darauf unternommenen Schritte und das Ergebnis einer allfälligen Untersuchung.
1 Kommt das Bundesorgan oder der Auftragsbearbeiter den Mitwirkungspflichten nicht nach, so kann der Beauftragte im Rahmen der Untersuchung insbesondere Folgendes anordnen:
Zugang zu allen Auskünften, Unterlagen, Verzeichnissen der Bearbeitungstätigkeiten und Personendaten, die für die Untersuchung erforderlich sind;
Zugang zu Räumlichkeiten und Anlagen;
Zeugeneinvernahmen;
Begutachtungen durch Sachverständige.
2 Er kann für die Dauer der Untersuchung zudem vorsorgliche Massnahmen anordnen.
1 Liegt eine Verletzung von Datenschutzvorschriften vor, so kann der Beauftragte verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernichtet werden.
2 Er kann die Bekanntgabe ins Ausland aufschieben oder untersagen, wenn sie gegen die anwendbaren gesetzlichen Bestimmungen betreffend die Bekanntgabe von Personendaten an einen Drittstaat oder an ein internationales Organ verstösst.
3 Hat das Bundesorgan oder der Auftragsbearbeiter während der Untersuchung die erforderlichen Massnahmen getroffen, um die Einhaltung der Datenschutzvorschriften wiederherzustellen, so kann der Beauftragte sich darauf beschränken, eine Verwarnung auszusprechen.
1 Das Untersuchungsverfahren sowie Verfügungen nach den Artikeln 23 und 24 richten sich nach dem VwVG1.
2 Unter Vorbehalt von Artikel 349h des Strafgesetzbuches2 ist nur das Bundesorgan oder der Auftragsbearbeiter, gegen das oder den eine Untersuchung eröffnet wurde, Partei.
3 Der Beauftragte kann Beschwerdeentscheide des Bundesverwaltungsgerichts anfechten.
5. Abschnitt: Amtshilfe zwischen dem Beauftragten und ausländischen Behörden
1 Der Beauftragte kann mit der Behörde eines Schengen-Staates, die für den Datenschutz zuständig ist, für die Erfüllung ihrer jeweiligen gesetzlich vorgesehenen Aufgaben im Bereich des Datenschutzes Informationen oder Personendaten austauschen, wenn folgende Voraussetzungen erfüllt sind:
Die Gegenseitigkeit der Amtshilfe ist sichergestellt.
Die Informationen und Personendaten werden nur für das den Datenschutz betreffende Verfahren verwendet, das dem Amtshilfeersuchen zugrunde liegt.
Die empfangende Behörde verpflichtet sich, die Berufs- sowie Geschäfts- und Fabrikationsgeheimnisse zu wahren.
Die Informationen und Personendaten werden Dritten nur bekanntgegeben, wenn die Behörde, die sie übermittelt hat, dies vorgängig genehmigt.
Die empfangende Behörde verpflichtet sich, die Auflagen und Einschränkungen der Behörde einzuhalten, die ihr die Informationen und Personendaten übermittelt hat.
2 Um sein Amtshilfegesuch zu begründen oder um dem Ersuchen einer Behörde Folge zu leisten, kann der Beauftragte insbesondere folgende Angaben machen:
den Namen des verantwortlichen Bundesorgans, des Auftragsbearbeiters oder anderer beteiligter Dritter;
die Kategorien der betroffenen Personen;
die Identität der betroffenen Personen, falls deren Mitteilung unentbehrlich ist, damit der Beauftragte oder die für den Datenschutz zuständige Behörde eines Schengen-Staates ihre gesetzlichen Aufgaben erfüllen können;
bearbeitete Personendaten oder Kategorien bearbeiteter Personendaten;
die Empfängerinnen und Empfänger oder die Kategorien der Empfängerinnen und Empfänger;
die technischen und organisatorischen Massnahmen.
3 Bevor der Beauftragte der Behörde eines Schengen-Staates, die für den Datenschutz zuständig ist, Informationen bekanntgibt, die Berufs-, Geschäfts- oder Fabrikationsgeheimnisse enthalten können, informiert er die betroffenen Personen, die Trägerinnen dieser Geheimnisse sind, und lädt sie zur Stellungnahme ein, es sei denn, dies ist nicht möglich oder erfordert einen unverhältnismässigen Aufwand.
6. Abschnitt: Übergangbestimmung betreffend laufende Verfahren
Dieses Gesetz gilt nicht für Untersuchungen des Beauftragten, die im Zeitpunkt des Inkrafttretens hängig sind; es ist ebenfalls nicht anwendbar auf hängige Beschwerden gegen erstinstanzliche Entscheide, die vor dem Inkrafttreten ergangen sind. Diese Fälle unterstehen dem bisherigen Recht.
Datum des Inkrafttretens: 1. März 20194
Abkommen vom 26. Oktober 20041 zwischen der Schweizerischen Eidgenossenschaft, der Europäischen Union und der Europäischen Gemeinschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands;
Abkommen vom 26. Oktober 20042 in Form eines Briefwechsels zwischen dem Rat der Europäischen Union und der Schweizerischen Eidgenossenschaft über die Ausschüsse, die die Europäische Kommission bei der Ausübung ihrer Durchführungsbefugnisse unterstützen;
Vereinbarung vom 22. September 20113 zwischen der Europäischen Union sowie der Republik Island, dem Fürstentum Liechtenstein, dem Königreich Norwegen und der Schweizerischen Eidgenossenschaft über die Beteiligung dieser Staaten an der Arbeit der Ausschüsse, die die Europäische Kommission bei der Ausübung ihrer Durchführungsbefugnisse in Bezug auf die Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands unterstützen;
Abkommen vom 28. April 20055 zwischen der Schweizerischen Eidgenossenschaft und dem Königreich Dänemark über die Umsetzung, Anwendung und Entwicklung derjenigen Teile des Schengen-Besitzstands, die auf Be-stimmungen des Titels IV des Vertrags zur Gründung der Europäischen Gemeinschaft basieren;
3 SR 0.362.11
AS 2019 639
1 SR 1012 Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates, Fassung gemäss ABl. L 119 vom 4.5.2016, S. 89.3BBl 2017 69414 BRB vom 30. Januar 2019 (AS 2019 625, hier 638)
Loi fédérale sur la protection des données personnelles dans le cadre de l’application de l’acquis de Schengen dans le domaine pénal*1
(Loi sur la protection des données Schengen, LPDS)
du 28 septembre 2018 (Etat le 1er mars 2019)
vu les art. 54, al. 1, 123 et 173, al. 2, de la Constitution2, en exécution de la Directive (UE) 2016/6803, vu le message du Conseil fédéral du 15 septembre 20174,
1 La présente loi règle le traitement de données personnelles effectué par les organes fédéraux à des fins de prévention, d’élucidation et de poursuites d’infractions ou d’exécution de sanctions pénales, y compris à des fins de protection contre les menaces pour la sécurité publique et de prévention de telles menaces:
dans le cadre de l’application de l’acquis de Schengen;
dans le cadre de l’application d’accords internationaux conclus avec l’Union européenne ou avec des Etats qui sont liés à la Suisse par l’un des accords d’association à Schengen (Etats Schengen) et qui renvoient à la directive (UE) 2016/680 pour ce qui est de la protection des données.
2 Les accords d’association à Schengen sont mentionnés en annexe.
Art. 2 Relation avec d’autres actes
1 La présente loi ne s’applique pas aux droits des personnes concernées dans le cadre de procédures pendantes devant des tribunaux fédéraux ou dans le cadre de procédures pendantes régies par le code de procédure pénale1 ou par la loi du 20 mars 1981 sur l’entraide pénale internationale2; ceux-ci sont régis par le droit de procédure applicable.
2 A défaut de disposition spéciale prévue par la présente loi, la loi fédérale du 19 juin 1992 sur la protection des données (LPD)3 s’applique; l’applicabilité d’autres lois fédérales est réservée.
2 RS 351.1
1 On entend par:
les données sur les opinions ou les activités religieuses, philosophiques ou politiques,
les données sur la santé, la sphère intime ou l’origine raciale ou ethnique,
les données biométriques identifiant une personne physique de façon unique,
les données sur des mesures d’aide sociale,
les données sur des poursuites ou sanctions pénales et administratives;
profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne;
violation de la sécurité des données: toute violation de la sécurité, sans égard au fait qu’elle soit intentionnelle ou illicite, entraînant la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
décision individuelle automatisée: toute décision prise exclusivement sur la base d’un traitement de données personnelles automatisé, y compris le profilage, et qui a des effets juridiques sur la personne concernée ou qui l’affecte de manière significative;
sous-traitant: la personne privée ou l’organe fédéral qui traite des données personnelles pour le compte de l’organe fédéral responsable.
2 Au demeurant, les définitions de l’art. 3 LPD1 s’appliquent.
1 Tout traitement de données personnelles doit être licite.
2 Il doit être effectué conformément aux principes de la bonne foi et de la proportionnalité.
3 Les données personnelles ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée et doivent être traitées ultérieurement de manière compatible avec ces finalités.
4 Elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement.
5 Celui qui traite des données personnelles doit s’assurer qu’elles sont exactes. Il prend toute mesure appropriée permettant de rectifier, d’effacer ou de détruire les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées.
Art. 5 Protection des données dès la conception et par défaut
1 Les organes fédéraux sont tenus de mettre en place, dès la conception du traitement, des mesures techniques et organisationnelles afin que celui-ci respecte les prescriptions de protection des données et en particulier les principes fixés à l’art. 4.
2 Les mesures techniques et organisationnelles doivent être appropriées au regard notamment de l’état de la technique, du type de traitement, de son étendue, ainsi que du risque que le traitement des données en question présente pour les droits fondamentaux des personnes concernées.
3 Les organes fédéraux sont tenus, par le biais de préréglages appropriés, de garantir que le traitement soit limité au minimum requis par la finalité poursuivie.
Art. 6 Bases légales relatives au traitement de données personnelles
1 Les organes fédéraux ne sont en droit de traiter des données personnelles que s’il existe une base légale.
2 Une base légale fixée dans une loi au sens formel est nécessaire lorsqu’il s’agit:
du traitement de données sensibles;
du traitement de profils de la personnalité;
d’un profilage;
d’un mode de traitement de données personnelles susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée.
3 En dérogation aux al. 1 et 2, les organes fédéraux peuvent traiter des données personnelles si l’une des conditions suivantes est remplie:
le traitement de données personnelles est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers;
la personne concernée a rendu ses données personnelles accessibles à tout un chacun et ne s’est pas opposée expressément au traitement.
Art. 7 Bases légales relatives à la communication de données personnelles
1 Les organes fédéraux ne sont en droit de communiquer des données personnelles que si une base légale au sens de l’art. 6, al. 1 et 2 le prévoit.
2 En dérogation à l’al. 1, les organes fédéraux peuvent, dans un cas d’espèce, communiquer des données personnelles si l’une des conditions suivantes est remplie:
la communication des données est indispensable à l’accomplissement des tâches légales de l’organe fédéral responsable ou du destinataire;
la communication de données personnelles est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers;
la personne concernée a rendu ses données personnelles accessibles à tout un chacun et ne s’est pas opposée expressément à la communication.
3 L’art. 19, al. 1bis à 4, LPD1 s’applique au demeurant.
Art. 8 Communication de données personnelles à l’étranger
1 La communication de données personnelles aux autorités compétentes des Etats Schengen ne doit pas être soumise à des règles de protection des données personnelles plus strictes que celles prévues pour la communication aux autorités pénales suisses.
2 La communication de données personnelles à un Etat tiers ou à un organisme international est régie par les dispositions spéciales des lois fédérales applicables.
Art. 9 Organe fédéral responsable et contrôle
1 Il incombe à l’organe fédéral responsable de pourvoir à la protection des données personnelles qu’il traite ou fait traiter dans l’accomplissement de ses tâches.
2 Lorsqu’un organe fédéral traite des données personnelles conjointement avec d’autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de protection des données.
Art. 10 Sous-traitance
1 Un traitement de données personnelles peut être confié à un sous-traitant pour autant que les conditions de l’art. 10a LPD1 soient remplies.
2 Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec l’autorisation préalable écrite de l’organe fédéral.
Section 2 Obligations des organes fédéraux et des sous-traitants
Art. 11 Décision individuelle automatisée
1 L’organe fédéral informe la personne concernée de toute décision individuelle automatisée (art. 3, al. 1, let. d) prise à son égard; il qualifie cette décision comme telle.
2 Si la personne concernée le demande, l’organe fédéral lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la procédure appliquée lui soit communiquée et que la décision soit revue par une personne physique.
3 L’al. 2 ne s’applique pas lorsque la personne concernée dispose d’une voie de droit contre la décision.
Art. 12 Registre des activités de traitement
1 Les organes fédéraux et les sous-traitants tiennent un registre des activités de traitement.
2 Les registres des organes fédéraux contiennent au moins les indications suivantes:
le nom de l’organe fédéral;
une description des catégories des personnes concernées et des catégories des données personnelles traitées;
les catégories des destinataires;
la durée de conservation des données personnelles ou, si cela n’est pas possible, les critères pour déterminer la durée de conservation;
dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données au sens de l’art. 7 LPD1;
l’Etat tiers ou l’organisme international auquel des données personnelles sont communiquées ainsi que les garanties de protection des données personnelles prévues.
3 Le registre du sous-traitant contient des indications concernant l’identité du sous-traitant et de l’organe fédéral, les catégories de traitements effectués pour le compte de celui-ci ainsi que les indications prévues à l’al. 2, let. f.
Art. 13 Analyse d’impact relative à la protection des données personnelles
1 Lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour les droits fondamentaux de la personne concernée, l’organe fédéral procède au préalable à une analyse d’impact relative à la protection des données personnelles. S’il envisage d’effectuer plusieurs opérations de traitements semblables, il peut établir une analyse d’impact commune.
2 L’existence d’un risque élevé dépend, en particulier lors de l’utilisation de nouvelles technologies, de la nature, de l’étendue, des circonstances et de la finalité du traitement. Un tel risque existe notamment dans les cas suivants:
le traitement de données sensibles ou de profils de la personnalité à grande échelle;
3 L’analyse d’impact contient une description du traitement envisagé, une évaluation des risques pour les droits fondamentaux de la personne concernée, ainsi que les mesures prévues pour protéger ces droits fondamentaux.
Art. 14 Consultation du Préposé fédéral à la protection des données et à la transparence
1 L’organe fédéral consulte le Préposé fédéral à la protection des données et à la transparence (préposé) préalablement au traitement lorsque l’analyse d’impact relative à la protection des données révèle que le traitement présenterait un risque élevé pour les droits fondamentaux de la personne concernée si l’organe fédéral ne prenait pas de mesures pour atténuer ce risque.
2 Le préposé communique à l’organe fédéral ses objections concernant le traitement envisagé dans un délai de deux mois. Ce délai peut être prolongé d’un mois, lorsqu’il s’agit d’un traitement de données complexe.
3 Si le préposé a des objections concernant le traitement envisagé, il propose à l’organe fédéral des mesures appropriées.
Art. 15 Annonce des violations de la sécurité des données
1 L’organe fédéral annonce dans les meilleurs délais au préposé les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les droits fondamentaux de la personne concernée.
2 L’annonce doit au moins indiquer la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées pour y remédier.
3 Le sous-traitant annonce dans les meilleurs délais à l’organe fédéral tout cas de violation de la sécurité des données.
4 L’organe fédéral informe la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le préposé l’exige.
5 Il peut restreindre l’information de la personne concernée, la différer ou y renoncer, dans les cas suivants:
les intérêts prépondérants d’un tiers l’exigent;
un intérêt public prépondérant, en particulier le maintien de la sûreté intérieure ou extérieure de la Suisse, l’exige;
l’information de la personne concernée est susceptible de compromettre une enquête, une instruction ou une procédure administrative ou judiciaire;
le devoir d’informer est impossible à respecter ou nécessite des efforts disproportionnés;
l’information de la personne concernée est garantie de manière équivalente par une communication publique.
Art. 16 Conseiller à la protection des données
1 Les organes fédéraux désignent un conseiller à la protection des données. Ils peuvent désigner un conseiller commun.
2 Le conseiller à la protection des données doit remplir les conditions suivantes:
il dispose des connaissances professionnelles nécessaires;
il n’exerce pas d’activités incompatibles avec ses tâches de conseiller à la protection des données.
3 Le conseiller à la protection des données exerce notamment les tâches suivantes:
il conseille les organes fédéraux;
il promeut l’information et la formation des collaborateurs;
il concourt à l’application des prescriptions relatives à la protection des données et propose des mesures s’il apparaît que des prescriptions relatives à la protection des données ont été violées.
Section 3 Droits des personnes concernées
Art. 17 Droit d’accès
1 Le droit d’accès de la personne concernée est régi par l’art. 8 LPD1. En outre, l’organe fédéral communique à la personne concernée:
les informations qui lui sont nécessaires pour qu’elle puisse faire valoir ses droits en vertu de la présente loi;
des informations concernant la durée de conservation des données personnelles ou, si cela n’est pas possible, les critères pour déterminer cette durée.
2 Les dispositions spéciales d’autres lois fédérales sont réservées.
Art. 18 Restriction du droit d’accès
1 La restriction du droit d’accès est régie par l’art. 9, al. 1 à 3 et 5, LPD1. En outre, l’organe fédéral peut refuser, restreindre ou différer la communication des renseignements lorsque la demande d’accès est manifestement infondée ou procédurière.
Art. 19 Autres prétentions et procédure
1 Quiconque a un intérêt légitime peut exiger de l’organe fédéral responsable:
qu’il s’abstienne de procéder à un traitement illicite;
qu’il supprime les effets d’un traitement illicite;
qu’il constate le caractère illicite d’un traitement.
2 Le demandeur peut en particulier exiger que l’organe fédéral:
rectifie les données personnelles, les efface ou les détruise;
publie ou communique à des tiers sa décision concernant notamment la rectification, l’effacement ou la destruction des données, l’opposition à une communication selon l’art. 20 LPD1 ou la mention du caractère litigieux des données personnelles prévue à l’al. 4.
3 Au lieu d’effacer ou de détruire les données personnelles, l’organe fédéral limite le traitement dans les cas suivants:
l’exactitude des données est contestée par la personne concernée et leur exactitude ou inexactitude ne peut pas être établie;
des intérêts prépondérants d’un tiers l’exigent;
un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l’exige;
l’effacement ou la destruction des données est susceptible de compromettre une enquête, une instruction ou une procédure administrative ou judiciaire.
4 Si l’exactitude ou l’inexactitude d’une donnée personnelle ne peut pas être établie, il ajoute à la donnée la mention de son caractère litigieux.
5 La procédure est régie par la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)2. Les exceptions prévues aux art. 2 et 3 de ladite loi ne sont pas applicables.
6 Les dispositions spéciales d’autres lois fédérales sont réservées.
Art. 20 Procédure en cas de communication de documents officiels contenant des données personnelles
Tant que l’accès à des documents officiels contenant des données personnelles fait l’objet d’une procédure au sens de la loi du 17 décembre 2004 sur la transparence1, la personne concernée peut, dans le cadre de cette procédure, faire valoir les droits que lui confère l’art. 19 de la présente loi par rapport aux documents qui sont l’objet de la procédure d’accès.
Section 4 Surveillance
Art. 21 Préposé
1 Le préposé est chargé de surveiller l’application des dispositions fédérales relatives à la protection des données.
2 Il ne peut exercer aucune surveillance sur:
le Ministère public de la Confédération en ce qui concerne le traitement de données personnelles dans le cadre de procédures pénales;
les autorités fédérales en ce qui concerne le traitement de données personnelles dans le cadre de procédures d’entraide judiciaire internationale en matière pénale.
Art. 22 Enquête
1 Le préposé ouvre d’office ou sur dénonciation une enquête contre l’organe fédéral ou le sous-traitant si des indices font penser qu’un traitement de données personnelles pourrait être contraire à des dispositions de protection des données.
2 Il peut renoncer à ouvrir une enquête lorsque la violation des prescriptions de protection des données est de peu d’importance.
3 L’organe fédéral ou le sous-traitant fournit au préposé tous les renseignements et les documents qui lui sont nécessaires pour l’enquête. Le droit de refuser de fournir des renseignements est régi par les art. 16 et 17 PA1.
4 Si la personne concernée est l’auteur de la dénonciation, le préposé l’informe des suites données à celle-ci et du résultat d’une éventuelle enquête.
Art. 23 Pouvoirs
1 Lorsque l’organe fédéral ou le sous-traitant ne respecte pas son obligation de collaborer, le préposé peut, dans le cadre de la procédure d’enquête, ordonner notamment:
l’accès à tous les renseignements, documents, registres des activités et données personnelles nécessaires pour l’enquête;
l’accès aux locaux et aux installations;
l’audition de témoins;
2 Il peut également ordonner des mesures provisionnelles pour la durée de l’enquête.
Art. 24 Mesures administratives
1 Si des dispositions de protection des données sont violées, le préposé peut ordonner la mise en conformité, la suspension ou la cessation de tout ou partie du traitement ainsi que l’effacement ou la destruction de tout ou partie des données personnelles.
2 Il peut suspendre ou interdire la communication de données personnelles à l’étranger si elle est contraire aux dispositions légales applicables en matière de communication de données personnelles à un Etat tiers ou à un organisme international.
3 Lorsque l’organe fédéral ou le sous-traitant a pris, durant l’enquête, les mesures nécessaires au rétablissement d’une situation conforme aux prescriptions de protection des données, le préposé peut se limiter à prononcer un avertissement.
1 La procédure d’enquête et les décisions concernant les mesures visées aux art. 23 et 24 sont régies par la PA1.
2 Sous réserve de l’art. 349h du code pénal2, seul l’organe fédéral ou le sous-traitant contre qui une enquête a été ouverte a qualité de partie.
3 Le préposé a qualité pour recourir contre les décisions sur recours du Tribunal administratif fédéral.
Section 5 Assistance administrative entre le préposé et les autorités étrangères
1 Le préposé peut échanger des informations ou des données personnelles avec une autorité d’un Etat Schengen chargée de la protection des données personnelles pour l’accomplissement de leurs tâches légales respectives en matière de protection des données, pour autant que les conditions suivantes soient réunies:
la réciprocité en matière d’assistance administrative est garantie;
les informations et les données personnelles échangées ne sont utilisées que dans le cadre de la procédure liée à la protection des données personnelles à la base de la demande d’assistance administrative;
l’autorité destinataire s’engage à ne pas divulguer les secrets professionnels, d’affaires ou de fabrication;
les informations et les données personnelles ne sont communiquées à des tiers qu’avec l’accord préalable de l’autorité qui les a transmises;
l’autorité destinataire s’engage à respecter les charges et les restrictions d’utilisation exigées par l’autorité qui lui a transmis les informations et les données personnelles.
2 Pour motiver sa demande d’assistance administrative ou pour donner suite à une demande d’assistance administrative de l’autorité requérante, il peut communiquer notamment les indications suivantes:
le nom de l’organe fédéral responsable, du sous-traitant ou de tout autre tiers participant au traitement;
l’identité des personnes concernées lorsque sa communication est indispensable à l’accomplissement des tâches légales du préposé ou d’une autorité d’un Etat Schengen chargée de la protection des données;
les données personnelles ou les catégories de données personnelles traitées;
les finalités des traitements;
3 Avant de transmettre à une autorité d’un Etat Schengen chargée de la protection des données des informations susceptibles de contenir des secrets professionnels, de fabrication ou d’affaires, il informe les personnes détentrices de ces secrets et les invite à prendre position, à moins que cela ne s’avère impossible ou ne nécessite des efforts disproportionnés.
Section 6 Disposition transitoire concernant les procédures en cours
La présente loi ne s’applique ni aux enquêtes du préposé pendantes au moment de son entrée en vigueur ni aux recours pendants contre les décisions de première instance rendues avant son entrée en vigueur. Dans ces cas, l’ancien droit s’applique.
Date de l’entrée en vigueur: 1er mars 20195
Accords d’association à Schengen
Les accords d’association à Schengen comprennent les accords suivants:
Accord du 26 octobre 2004 entre la Confédération suisse, l’Union européenne et la Communauté européenne sur l’association de la Confédération suisse à la mise en oeuvre, à l’application et au développement de l’acquis de Schengen1;
Accord du 26 octobre 2004 sous forme d’échange de lettres entre le Conseil de l’Union européenne et la Confédération suisse concernant les Comités qui assistent la Commission européenne dans l’exercice de ses pouvoirs exécutifs2;
Arrangement du 22 septembre 2011 entre l’Union Européenne et la République d’Islande, la Principauté de Liechtenstein, le Royaume de Norvège et la Confédération suisse sur la participation de ces Etats aux travaux des comités qui assistent la Commission Européenne dans l’exercice de ses pouvoirs exécutifs dans le domaine de la mise en oeuvre, de l’application et du développement de l’acquis de Schengen3;
Accord du 17 décembre 2004 entre la Confédération suisse, la République d’Islande et le Royaume de Norvège sur la mise en oeuvre, l’application et le développement de l’acquis de Schengen et sur les critères et les mécanismes permettant de déterminer l’État responsable de l’examen d’une demande d’asile introduite en Suisse, en Islande ou en Norvège4;
Accord du 28 avril 2005 entre la Confédération suisse et le Royaume du Danemark sur la mise en oeuvre, l’application et le développement des parties de l’acquis de Schengen basées sur les dispositions du Titre IV du Traité instituant la Communauté européenne5;
Protocole du 28 février 2008 entre la Confédération suisse, l’Union européenne, la Communauté européenne, et la Principauté de Liechtenstein sur l’adhésion de la Principauté de Liechtenstein à l’accord entre la Confédération suisse, l’Union européenne et la Communauté européenne sur l’association de la Confédération suisse à la mise en oeuvre, à l’application et au développement de l’acquis de Schengen6.
2 RS 0.362.1
3 RS 0.362.11
4 RS 0.362.32
5 RS 0.362.33
6 RS 0.362.311
RO 2019 639
1* Les termes désignant des personnes s’appliquent également aux femmes et aux hommes.2 RS 1013 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, JO L 119 du 4.5.2016, p. 89.4FF 2017 65655 ACF du 30 janvier 2019 (RO 2019 625, ici 638)
Legge federale sulla protezione dei dati personali nell’ambito dell’applicazione dell’acquis di Schengen in materia penale
(Legge sulla protezione dei dati in ambito Schengen, LPDS)
del 28 settembre 2018 (Stato 1° marzo 2019)
visti gli articoli 54 capoverso 1, 123 e 173 capoverso 2 della Costituzione federale1; in esecuzione della direttiva (UE) 2016/6802; visto il messaggio del Consiglio federale del 15 settembre 20173,
1 La presente legge disciplina il trattamento di dati personali da parte degli organi federali ai fini della prevenzione, del chiarimento o del perseguimento di reati o dell’esecuzione di sanzioni penali, comprese la protezione contro le minacce alla sicurezza pubblica e la prevenzione delle stesse:
nell’ambito dell’applicazione dell’acquis di Schengen;
nell’ambito dell’applicazione degli accordi internazionali conclusi con l’Unione europea o con Stati vincolati da un accordo di associazione alla normativa di Schengen (Stati Schengen) e che in materia di protezione dei dati rimandano alla direttiva (UE) 2016/680.
2 Gli accordi di associazione alla normativa di Schengen sono elencati nell’allegato.
Art. 2 Rapporto con altre leggi
1 La presente legge non si applica ai diritti delle persone interessate nei procedimenti pendenti davanti ai tribunali della Confederazione e nei procedimenti pendenti secondo il Codice di procedura penale1 o secondo la legge federale del 20 marzo 19812 sull’assistenza internazionale in materia penale; tali diritti sono disciplinati dal diritto processuale applicabile.
2 In quanto la presente legge non preveda disposizioni particolari, si applica la legge federale del 19 giugno 19923 sulla protezione dei dati (LPD); è fatta salva l’applicazione di altre leggi federali.
1 Nella presente legge s’intende per:
dati personali degni di particolare protezione:
i dati concernenti le opinioni o attività religiose, filosofiche o politiche,
i dati concernenti la salute, la sfera intima o l’appartenenza a una razza o a un’etnia,
i dati genetici,
i dati biometrici che identificano in modo univoco una persona fisica,
i dati concernenti le misure d’assistenza sociale,
i dati concernenti procedimenti e sanzioni amministrativi e penali;
profilazione: ogni trattamento automatizzato di dati personali consistente nell’utilizzazione degli stessi per valutare determinati aspetti della personalità di una persona fisica, in particolare per analizzare o prevedere elementi concernenti il rendimento professionale, la situazione economica, la salute, le preferenze, gli interessi, l’affidabilità, il comportamento, il luogo di soggiorno e gli spostamenti di tale persona;
violazione della sicurezza dei dati: ogni violazione della sicurezza, a prescindere dal fatto che sia intenzionale o illecita, in seguito alla quale dati personali vengono persi, cancellati, distrutti, modificati oppure divulgati o resi accessibili a persone non autorizzate;
decisione individuale automatizzata: ogni decisione basata esclusivamente su un trattamento automatizzato di dati personali, compresa la profilazione, che abbia per la persona interessata effetti giuridici o ripercussioni significative;
responsabile del trattamento: la persona privata o l’organo federale che tratta dati personali per conto dell’organo federale responsabile.
2 Peraltro si applicano le definizioni di cui all’articolo 3 LPD1.
1 I dati personali vanno trattati in modo lecito.
2 Il trattamento deve essere conforme al principio della buona fede e della proporzionalità.
3 I dati personali possono essere raccolti soltanto per uno scopo determinato e riconoscibile da parte della persona interessata; possono essere trattati soltanto in modo compatibile con tale scopo.
4 I dati personali sono distrutti o resi anonimi non appena non sono più necessari per lo scopo del trattamento.
5 Chi tratta dati personali deve accertarsi della loro esattezza. Deve prendere tutti i provvedimenti adeguati e necessari per rettificare, cancellare o distruggere i dati inesatti o incompleti in considerazione dello scopo per cui sono stati raccolti o trattati.
Art. 5 Protezione dei dati sin dalla progettazione e per impostazione predefinita
1 Gli organi federali sono tenuti ad adottare, sin dalla progettazione, i provvedimenti tecnici e organizzativi necessari affinché il trattamento dei dati sia conforme alle disposizioni sulla protezione dei dati, in particolare ai principi di cui all’articolo 4.
2 I provvedimenti tecnici e organizzativi devono essere adeguati in particolare allo stato della tecnica, alla natura e all’estensione del trattamento dei dati come pure al rischio che il trattamento comporta per i diritti fondamentali delle persone interessate.
3 Gli organi federali sono tenuti a garantire, mediante appropriate impostazioni predefinite, che il trattamento di dati personali sia circoscritto al minimo indispensabile per lo scopo perseguito.
Art. 6 Basi legali per il trattamento di dati personali
1 Gli organi federali possono trattare dati personali soltanto se esiste una pertinente base legale.
2 La base legale deve essere prevista in una legge in senso formale nei casi seguenti:
sono trattati dati personali degni di particolare protezione;
sono trattati profili della personalità;
è effettuata una profilazione;
il tipo di trattamento può comportare una grave ingerenza nei diritti fondamentali della persona interessata.
3 In deroga ai capoversi 1 e 2, gli organi federali possono trattare dati personali se:
il trattamento è necessario per proteggere la vita o l’integrità fisica della persona interessata o di un terzo; o
la persona interessata ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente al trattamento.
Art. 7 Basi legali per la comunicazione di dati personali
1 Gli organi federali possono comunicare dati personali soltanto se lo prevede una base legale ai sensi dell’articolo 6 capoversi 1 e 2.
2 In deroga al capoverso 1, gli organi federali possono comunicare dati personali se nel caso specifico:
la comunicazione è indispensabile affinché l’organo federale o il destinatario possa adempiere un compito definito dalla legge;
la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata o di un terzo; o
la persona interessata ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente alla comunicazione.
3 Peraltro è applicabile l’articolo 19 capoversi 1bis–4 LDP1.
Art. 8 Comunicazione di dati personali all’estero
1 La comunicazione di dati personali alle autorità competenti degli Stati Schengen non può essere soggetta a regole di protezione dei dati personali più severe di quelle applicabili alla comunicazione alle autorità penali svizzere.
2 La comunicazione di dati personali a uno Stato terzo o a un organo internazionale è retta dalle disposizioni speciali del diritto federale applicabile.
Art. 9 Organo federale responsabile e controllo
1 L’organo federale che nell’adempimento dei suoi compiti tratta o fa trattare dati personali è responsabile della protezione dei dati.
2 Se un organo federale tratta dati personali congiuntamente ad altri organi federali, a organi cantonali o a privati, il Consiglio federale disciplina le procedure di controllo e la responsabilità in materia di protezione dei dati.
Art. 10 Trattamento dei dati da parte di un responsabile del trattamento
1 Il trattamento di dati personali può essere affidato a un responsabile del trattamento se sono adempiute le condizioni previste dall’articolo 10a LPD1.
2 Il responsabile del trattamento può affidare il trattamento a un terzo soltanto previa autorizzazione scritta dell’organo federale.
Sezione 2: Obblighi degli organi federali e dei responsabili del trattamento
Art. 11 Decisione individuale automatizzata
1 L’organo federale informa la persona interessata in merito a ogni decisione individuale automatizzata (art. 3 cpv. 1 lett. d) che la concerne; queste decisioni sono designate come tali.
2 L’organo federale dà la possibilità alla persona interessata che lo richiede di esprimere il suo parere. La persona interessata può esigere che le sia comunicata la procedura applicata e che la decisione sia riesaminata da una persona fisica.
3 Il capoverso 2 non si applica se la persona interessata dispone di un rimedio giuridico contro la decisione.
Art. 12 Registro delle attività di trattamento
1 Gli organi federali e i responsabili del trattamento tengono un registro delle loro attività di trattamento.
2 I registri degli organi federali contengono almeno le indicazioni seguenti:
la denominazione dell’organo federale;
lo scopo del trattamento;
una descrizione delle categorie di persone interessate e delle categorie di dati personali trattati;
le categorie di destinatari;
la durata di conservazione dei dati o, se ciò non è possibile, i criteri per stabilire tale durata;
se possibile, una descrizione generale dei provvedimenti tesi a garantire la sicurezza dei dati secondo l’articolo 7 LPD1;
lo Stato terzo o l’organo internazionale cui sono comunicati dati personali, come pure le garanzie previste per la protezione degli stessi.
3 Il registro del responsabile del trattamento contiene indicazioni in merito alla sua identità e a quella dell’organo federale, alle categorie dei trattamenti eseguiti su incarico dell’organo federale, come pure le indicazioni di cui al capoverso 2 lettera f.
Art. 13 Valutazione d’impatto sulla protezione dei dati
1 Quando il trattamento può comportare un rischio elevato per i diritti fondamentali della persona interessata, l’organo federale effettua previamente una valutazione d’impatto sulla protezione dei dati. Se prevede più operazioni di trattamento simili può procedere a una valutazione d’impatto comune.
2 Il rischio elevato, in particolare in caso di applicazione di nuove tecnologie, risulta dal tipo, dall’estensione, dalle circostanze e dallo scopo del trattamento. Sussiste segnatamente nel caso di:
un trattamento su grande scala di dati personali degni di particolare protezione o di profili della personalità;
una profilazione.
3 La valutazione d’impatto sulla protezione dei dati contiene una descrizione del trattamento previsto, una valutazione dei rischi per i diritti fondamentali della persona interessata nonché i provvedimenti a loro tutela.
Art. 14 Consultazione dell’Incaricato federale della protezione dei dati e della trasparenza
1 L’organo federale sente previamente il parere dell’Incaricato federale della protezione dei dati e della trasparenza (Incaricato), se dalla valutazione d’impatto sulla protezione dei dati emerge che senza alcun provvedimento dell’organo federale il trattamento previsto presenterebbe un rischio elevato per i diritti fondamentali della persona interessata.
2 L’Incaricato comunica entro due mesi all’organo federale le sue obiezioni contro il trattamento previsto. Il termine può essere prorogato di un mese se si tratta di un trattamento di dati complesso.
3 Se ha obiezioni contro il trattamento previsto, l’Incaricato propone all’organo federale provvedimenti appropriati.
Art. 15 Comunicazione di violazioni della sicurezza dei dati
1 L’organo federale comunica quanto prima all’Incaricato ogni violazione della sicurezza dei dati che comporta verosimilmente un grave rischio per i diritti fondamentali della persona interessata.
2 Nella comunicazione l’organo federale menziona almeno il tipo di violazione della sicurezza dei dati, le sue conseguenze e i provvedimenti disposti o previsti per rimediarvi.
3 Il responsabile del trattamento comunica quanto prima all’organo federale ogni violazione della sicurezza dei dati.
4 L’organo federale informa la persona interessata se ciò è necessario per proteggerla o se lo esige l’Incaricato.
5 Può limitare o differire l’informazione della persona interessata o rinunciarvi se:
lo esigono interessi preponderanti di terzi;
lo esige un interesse pubblico preponderante, in particolare la salvaguardia della sicurezza interna o esterna della Svizzera;
l’informazione della persona interessata rischia di compromettere un’indagine, un’istruzione o un procedimento giudiziario o amministrativo;
l’informazione della persona interessata è impossibile o esige mezzi sproporzionati; o
l’informazione della persona interessata è garantita in modo equivalente con una comunicazione pubblica.
Art. 16 Responsabile della protezione dei dati
1 Ogni organo federale designa un responsabile della protezione dei dati. Più organi federali possono designarne uno comune.
dispone delle conoscenze tecniche necessarie; e
non esercita attività inconciliabili con i suoi compiti di responsabile della protezione dei dati.
3 Il responsabile della protezione dei dati ha in particolare i compiti seguenti:
sostiene gli organi federali;
promuove l’informazione e la formazione dei collaboratori;
collabora all’esecuzione delle disposizioni sulla protezione dei dati e propone provvedimenti se risulta che sono state violate prescrizioni sulla protezione dei dati.
Sezione 3: Diritti delle persone interessate
Art. 17 Diritto d’accesso
1 Il diritto d’accesso è retto dall’articolo 8 LPD1. L’organo federale comunica inoltre alla persona interessata:
le informazioni necessarie affinché possa far valere i suoi diritti secondo la presente legge;
la durata di conservazione dei dati o, se ciò non è possibile, i criteri per stabilire la durata.
2 Sono fatte salve le norme speciali di altre leggi federali.
Art. 18 Restrizione del diritto d’accesso
1 La restrizione del diritto d’accesso è retta dall’articolo 9 capoversi 1–3 e 5 LPD1. L’organo federale può inoltre rifiutare, limitare o differire la comunicazione delle informazioni se la domanda d’accesso è manifestamente infondata o querulosa.
Art. 19 Altre pretese e procedura
1 Chi ha un interesse degno di protezione può esigere che l’organo federale responsabile:
si astenga dal trattamento illecito;
elimini le conseguenze di un trattamento illecito;
accerti il carattere illecito del trattamento.
2 Il richiedente può in particolare esigere che l’organo federale:
rettifichi, cancelli o distrugga i dati personali corrispondenti;
pubblichi o comunichi a terzi la sua decisione, in particolare in merito alla rettifica, alla cancellazione o alla distruzione dei dati, l’opposizione alla comunicazione ai sensi dell’articolo 20 LPD1 o la menzione che rileva il carattere contestato dei dati secondo il capoverso 4.
3 Invece di cancellare o distruggere i dati personali, l’organo federale ne limita il trattamento se:
la persona interessata contesta l’esattezza dei dati personali ma né la loro esattezza né la loro inesattezza possono essere dimostrate;
lo esige un interesse pubblico preponderante, segnatamente la salvaguardia della sicurezza interna o esterna della Svizzera;
la cancellazione o la distruzione dei dati rischia di compromettere un’indagine, un’istruzione o un procedimento giudiziario o amministrativo.
4 Se non possono essere dimostrate né l’esattezza né l’inesattezza dei dati personali, l’organo federale aggiunge agli stessi una menzione che ne rileva il carattere contestato.
5 La procedura è retta dalla legge federale del 20 dicembre 19682 sulla procedura amministrativa (PA). Le eccezioni previste dagli articoli 2 e 3 PA non sono applicabili.
6 Sono fatte salve le norme speciali di altre leggi federali.
Art. 20 Procedura in caso di comunicazione di documenti ufficiali che contengono dati personali
Se è in corso una procedura concernente l’accesso a documenti ufficiali ai sensi della legge del 17 dicembre 20041 sulla trasparenza che contengono dati personali, la persona interessata può, in tale procedura, far valere i diritti che le spettano in virtù dell’articolo 19 della presente legge in riferimento ai documenti oggetto della procedura di accesso.
Sezione 4: Sorveglianza
Art. 21 Incaricato
1 L’Incaricato sorveglia l’applicazione delle disposizioni federali sulla protezione dei dati.
2 Non sono soggetti alla sorveglianza dell’Incaricato:
il Ministero pubblico della Confederazione per quanto riguarda il trattamento di dati personali nell’ambito di un procedimento penale;
le autorità federali per quanto riguarda il trattamento di dati personali nell’ambito di procedure di assistenza giudiziaria internazionale in materia penale.
Art. 22 Inchiesta
1 L’Incaricato apre, d’ufficio o su denuncia, un’inchiesta nei confronti di un organo federale o di un responsabile del trattamento se indizi lasciano presumere che un trattamento di dati potrebbe violare le disposizioni sulla protezione dei dati.
2 Può rinunciare ad aprire un’inchiesta se la violazione delle disposizioni sulla protezione dei dati è di poca importanza.
3 L’organo federale o il responsabile del trattamento fornisce all’Incaricato tutte le informazioni e i documenti necessari per l’inchiesta. Il diritto di rifiutare di fornire informazioni è retto dagli articoli 16 e 17 PA1.
4 Se la persona interessata ha sporto denuncia, l’Incaricato la informa sul seguito dato alla denuncia e sull’esito di un’eventuale inchiesta.
Art. 23 Attribuzioni
1 Se l’organo federale o il responsabile del trattamento non ottempera all’obbligo di collaborare, l’Incaricato può, nell’ambito dell’inchiesta, ordinare in particolare:
l’accesso alle informazioni, ai documenti, ai registri delle attività di trattamento e ai dati personali necessari per l’inchiesta;
l’accesso ai locali e agli impianti;
l’interrogatorio di testimoni;
perizie di esperti.
2 L’Incaricato può inoltre ordinare provvedimenti cautelari per la durata dell’inchiesta.
Art. 24 Provvedimenti amministrativi
1 Se sono state violate le disposizioni sulla protezione dei dati, l’Incaricato può ordinare di adeguare, sospendere o cessare del tutto o in parte il trattamento nonché di cancellare o distruggere del tutto o in parte i dati personali.
2 L’Incaricato può sospendere o vietare la comunicazione dei dati all’estero se questa è contraria alle disposizioni legali riguardanti la comunicazione di dati personali a uno Stato terzo o a un organo internazionale.
3 Se durante l’inchiesta l’organo federale o il responsabile del trattamento ha adottato i provvedimenti necessari per ristabilire il rispetto delle disposizioni sulla protezione dei dati, l’Incaricato può limitarsi a pronunciare un ammonimento.
1 La procedura d’inchiesta e le decisioni concernenti i provvedimenti di cui agli articoli 23 e 24 sono retti dalla PA1.
2 Fatto salvo l’articolo 349h del Codice penale2, è parte soltanto l’organo federale o il responsabile del trattamento oggetto dell’inchiesta.
3 L’Incaricato può impugnare le decisioni su ricorso pronunciate dal Tribunale amministrativo federale.
Sezione 5: Assistenza amministrativa tra l’Incaricato e le autorità estere
1 Ai fini dell’adempimento dei rispettivi compiti legali in materia di protezione dei dati l’Incaricato può scambiare informazioni o dati personali con le autorità di uno Stato Schengen incaricate della protezione dei dati se:
la reciprocità dell’assistenza amministrativa è garantita;
le informazioni e i dati personali sono utilizzati soltanto nell’ambito della procedura concernente la protezione dei dati personali su cui si fonda la domanda di assistenza amministrativa;
l’autorità destinataria s’impegna a salvaguardare i segreti professionali, d’affari e di fabbricazione;
le informazioni e i dati personali sono comunicati a terzi soltanto previo consenso dell’autorità che li ha trasmessi; e
l’autorità destinataria s’impegna a rispettare gli oneri e le limitazioni d’uso richiesti dall’autorità che ha trasmesso le informazioni e i dati personali.
2 Per motivare la propria domanda di assistenza amministrativa o per dare seguito a una siffatta domanda di un’autorità, l’Incaricato può fornire in particolare le seguenti informazioni:
la denominazione dell’organo federale responsabile e il nome del responsabile del trattamento o di qualsiasi altra persona che partecipa al trattamento;
le categorie di persone interessate;
l’identità delle persone interessate, se la comunicazione di tale identità è indispensabile per l’adempimento dei compiti legali dell’Incaricato o dell’autorità dello Stato Schengen incaricata della protezione dei dati;
i dati personali o le categorie di dati personali trattati;
i destinatari o le categorie di destinatari;
i provvedimenti tecnici e organizzativi.
3 Prima di trasmettere all’autorità dello Stato Schengen incaricata della protezione dei dati informazioni che potrebbero contenere segreti professionali, d’affari o di fabbricazione, l’Incaricato informa le persone titolari di tali segreti e le invita a esprimere un parere, salvo che ciò sia impossibile o esiga mezzi sproporzionati.
Sezione 6: Disposizione transitoria relativa alle procedure pendenti
La presente legge non si applica alle inchieste dell’Incaricato pendenti al momento della sua entrata in vigore; non si applica neppure ai ricorsi pendenti contro decisioni di prima istanza emanate prima della sua entrata in vigore. A questi casi si applica il diritto anteriore.
Data dell’entrata in vigore: 1° marzo 20194
Accordi di associazione alla normativa di Schengen
Gli Accordi di associazione alla normativa di Schengen comprendono:
l’Accordo del 26 ottobre 20041 tra la Confederazione Svizzera, l’Unione europea e la Comunità europea, riguardante l’associazione della Svizzera all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen;
l’Accordo del 26 ottobre 20042 sotto forma di scambio di lettere tra la Confederazione Svizzera e il Consiglio dell’Unione europea concernente i comitati che assistono la Commissione europea nell’esercizio dei suoi poteri esecutivi;
la Convenzione del 22 settembre 20113 tra l’Unione europea e la Repubblica d’Islanda, il Principato del Liechtenstein, il Regno di Norvegia e la Confederazione Svizzera sulla partecipazione di tali Stati ai lavori dei comitati che assistono la Commissione europea nell’esercizio dei suoi poteri esecutivi per quanto riguarda l’attuazione, l’applicazione e lo sviluppo dell’acquis di Schengen;
l’Accordo del 17 dicembre 20044 tra la Confederazione Svizzera, la Repubblica d’Islanda e il Regno di Norvegia sull’attuazione, l’applicazione e lo sviluppo dell’acquis di Schengen nonché sui criteri e i meccanismi per determinare lo Stato competente per l’esame di una domanda di asilo presentata in Svizzera, in Islanda o in Norvegia;
l’Accordo del 28 aprile 20055 tra la Confederazione Svizzera e il Regno di Danimarca sull’attuazione, l’applicazione e lo sviluppo delle parti dell’acquis di Schengen basate sulle disposizioni del titolo IV del Trattato che istituisce la Comunità europea;
il Protocollo del 28 febbraio 20086 tra la Confederazione Svizzera, l’Unione europea, la Comunità europea e il Principato del Liechtenstein sull’adesione del Principato del Liechtenstein all’accordo tra la Confederazione Svizzera, l’Unione europea e la Comunità europea, riguardante l’associazione della Confederazione Svizzera all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen.
RU 2019 639
1 RS 1012 Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio; GU L 119 del 4.5.2016, pag. 89.3FF 2017 59394 DCF del 30 gennaio 2019 (RU 2019 625, in particolare 638).

References: Art. 2

Art. 5

Art. 6

Art. 7

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 14

Art. 15

Art. 16

Art. 17

Art. 18

Art. 19

Art. 20

Art. 21

Art. 22

Art. 24

Art. 5

Art. 6

Art. 7

Art. 14

Art. 20
 art. 54

Art. 2

Art. 5

Art. 6

Art. 7

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 14

Art. 15

Art. 16

Art. 17

Art. 18

Art. 19
 art. 2

Art. 20

Art. 21

Art. 22
 art. 16

Art. 23

Art. 24
 art. 23

Art. 2

Art. 5

Art. 6

Art. 7

Art. 8

Art. 9

Art. 10

Art. 11

Art. 12

Art. 13

Art. 14

Art. 15

Art. 16

Art. 17

Art. 18

Art. 19

Art. 20

Art. 21

Art. 22

Art. 23

Art. 24