2002-2754 1967 Loi fédérale Projet sur la protection des données (LPD) Modification du L’Assemblée fédérale de la Confédération suisse, vu le message du Conseil fédéral du 19 février 20031, arrête: I La loi f édérale du 19 juin 1992 sur la protection des donn ées (LPD)2 est modifi ée comme suit: Préambule vu les art. 31bis, al. 2, 64, 64bis, et 85, ch. 1, de la constitution3, … Art. 2, al. 2, let. e 2 Elle ne s’applique pas: e. aux donn ées personnelles trait ées par les organisations internationales éta- blies sur le territoire de la Conf édération et avec lesquelles un accord de siège a été conclu. Art. 3, let. i, j et k On entend par: i. ne concerne que les textes allemand et italien; j. loi au sens formel: 1. lois f édérales, 2. r ésolutions d ’organisations internationales contraignantes pour la Suisse et traités de droit international approuv és par l ’Assemblée fédé- rale et comportant des règles de droit. k. abrogée 1 FF 2003 1915 2 RS 235.1 3 Ces dispositions correspondent aux art. 95, 122, 123 et 173, al. 2, de la Constitution du 18 avril 1999 (RS 101).Loi fédérale sur la protection des données (LPD) 1968 Art. 4, al. 1 et al. 4 et 5 (nouveaux) 1 Tout traitement de donn ées personnelles ne peut être entrepris que d ’une manière licite. 4 La collecte de donn ées personnelles, et notamment les finalit és du traitement, doivent être reconnaissables pour la personne concernée. 5 Lorsque son consentement est requis pour justifier le traitement de donn ées per- sonnelles la concernant, la personne ne consent valablement que si elle exprime sa volonté librement et apr ès avoir été d ûment informée; lorsqu ’il s ’agit de donn ées sensibles et de profils de la personnalité, son consentement doit être explicite. Art. 6 Communication transfrontière de données 1 Aucune donn ée personnelle ne peut être communiqu ée à l ’étranger si la person- nalité des personnes concern ées devait s’en trouver gravement menacée, notamment du fait de l’absence d’une législation assurant un niveau de protection adéquat. 2 En dépit de l’absence d’une législation assurant un niveau de protection ad équat à l’étranger, des données personnelles peuvent être communiquées à l’étranger: a. si des garanties suffisantes, notamment contractuelles, permettent d ’assurer un niveau de protection adéquat à l’étranger; b. si la personne concern ée a, en l’espèce, donné son consentement; c. si le traitement est en relation directe avec la conclusion ou l ’exécution d’un contrat et que les données traitées concernent le cocontractant; d. si la communication est, en l ’espèce, indispensable soit à la sauvegarde d’un intérêt public pr épondérant, soit à la constatation, l ’exercice ou la d éfense d’un droit en justice; e. si la communication est, en l ’espèce, n écessaire pour prot éger la vie ou l’intégrité corporelle de la personne concernée; f. si la personne concern ée a rendu les donn ées accessibles à tout un chacun et qu’elle ne se soit pas opposée formellement au traitement; g. si la communication a lieu entre des personnes morales r éunies sous une direction unique et soumises à des r ègles uniformes sur la protection des données qui garantissent une protection appropriée. 3 Le Pr éposé f édéral à la protection des donn ées doit être inform é des garanties données visées à l ’al. 2, let. a, et des r ègles uniformes de protection des donn ées visées à l’al. 2, let. g. Le Conseil fédéral règle les modalités du devoir d’information. Art. 7a (nouveau) Devoir d’informer lors de la collecte de données personnelles sensibles et de profils de la personnalité 1 Le ma ître du fichier a l ’obligation d ’informer la personne concern ée de toute collecte de donn ées personnelles sensibles ou de profils de la personnalit é la con- cernant, à moins qu’elle n’ait été préalablement informée.Loi fédérale sur la protection des données (LPD) 1969 2 La personne concernée doit au minimum recevoir les informations suivantes: a. l ’identité du maître du fichier; b. les finalit és du traitement pour lequel les données sont collectées; c. les cat égories de destinataires des donn ées si la communication des donn ées est envisagée. 3 Si les données ne sont pas collectées auprès de la personne concern ée, celle-ci doit être informée au plus tard lors de l ’enregistrement des donn ées ou de leur premi ère communication à un tiers, à moins que cela ne s ’avère impossible, ne n écessite des efforts disproportionn és ou que l ’enregistrement ou la communication ne soient expressément prévus par la loi. Art. 7b (nouveau) Devoir d’informer lors de décisions individuelles automatisées La personne concern ée doit être express ément inform ée du fait qu ’une d écision produisant des effets juridiques à son égard ou l ’affectant de mani ère significative est prise sur le seul fondement d ’un traitement automatis é de donn ées destin é à évaluer certains aspects de sa personnalité. Art. 8, al. 2, let. a 2 Le maître du fichier doit lui communiquer: a. toutes les donn ées la concernant qui sont contenues dans le fichier, y com- pris les informations disponibles sur l’origine des données; Art. 9, titre, al. 1 à 3 et 5 Restriction du devoir d’information et du droit d’accès 1 Le maître du fichier peut refuser ou restreindre l ’information visée à l’art. 7a ou la communication des renseignements demand és vis ée à l ’art. 8, voire en diff érer l’octroi, dans la mesure où: a. une loi au sens formel le pr évoit; b. les int érêts prépondérants d’un tiers l’exigent. 2 Un organe fédéral peut en outre refuser ou restreindre l ’information ou la commu- nication des renseignements demandés, voire en différer l’octroi, dans la mesure où: a. un int érêt public pr épondérant, en particulier la s ûreté int érieure ou ext é- rieure de la Confédération, l’exige; b. l ’information ou la communication des renseignements risque de compro- mettre une instruction pénale ou une autre procédure d’instruction. 3 Un maître de fichier priv é peut en outre refuser ou restreindre l ’information ou la communication des renseignements demand és, voire en diff érer l ’octroi, dans la mesure où ses int érêts prépondérants l’exigent et à condition qu ’il ne communique pas les données personnelles à des tiers.Loi fédérale sur la protection des données (LPD) 1970 5 Si l’information ou la communication des renseignements est refus ée, restreinte ou différée, elle doit être donn ée ult érieurement d ès que le motif a disparu et pour autant que cela ne s ’avère pas impossible ou ne n écessite pas des efforts dispropor- tionnés. Art. 10a (nouveau) Traitement de données par un tiers 1 Le traitement de donn ées personnelles peut être confi é à un tiers pour autant qu’une convention ou la loi le pr évoie et que les conditions suivantes soient rem- plies: a. seuls les traitements que le mandant serait en droit d ’effectuer lui-même sont effectués; b. aucune obligation l égale ou contractuelle de garder le secret ne l’interdit. 2 Le mandant doit en particulier s ’assurer que le tiers garantit la s écurité des don- nées. 3 Le tiers peut faire valoir les mêmes motifs justificatifs que le mandant. Art. 11 (nouveau) Procédure de certification 1 Afin d’améliorer la protection et la s écurité des données, les fournisseurs de syst è- mes de traitement de donn ées et de logiciels ainsi que les personnes priv ées ou les organes f édéraux qui traitent des donn ées personnelles peuvent soumettre leurs systèmes, leurs proc édures et leur organisation à une évaluation effectu ée par des organismes de certification agréés et indépendants. 2 Le Conseil fédéral édicte des prescriptions sur la reconnaissance des proc édures de certification et sur l ’introduction d’un label de qualit é de protection des donn ées. Il tient compte du droit international et des normes techniques reconnues au niveau international. Art. 11a (nouveau) Registre des fichiers 1 Le Préposé fédéral à la protection des donn ées tient un registre des fichiers acces- sible en ligne. Toute personne peut consulter ce registre. 2 Les organes f édéraux sont tenus de d éclarer leurs fichiers au Pr éposé fédéral à la protection des données pour enregistrement. 3 Les personnes privées sont tenues de déclarer leurs fichiers lorsqu’elles: a. traitent r égulièrement des donn ées sensibles ou des profils de la personna- lité; ou b. communiquent r égulièrement des données personnelles à des tiers. 4 Les fichiers doivent être déclarés avant d’être opérationnels.Loi fédérale sur la protection des données (LPD) 1971 5 Par d érogation aux al. 2 et 3, le ma ître du fichier n ’est pas tenu de d éclarer son fichier: a. si les donn ées sont trait ées par une personne priv ée en vertu d ’une obliga- tion légale; b. si le traitement est d ésigné par le Conseil f édéral comme n’étant pas suscep- tible de menacer les droits des personnes concernées; c. s ’il utilise le fichier exclusivement pour la publication dans la partie r édac- tionnelle d’un média à caractère périodique et ne communique pas les don- nées à des tiers à l’insu des personnes concernées; d. si les donn ées sont traitées par un journaliste qui se sert du fichier comme un instrument de travail personnel; e. s ’il a d ésigné un conseiller à la protection des donn ées indépendant chargé d’assurer l’application interne des dispositions relatives à la protection des données et de tenir un inventaire des fichiers; f. s ’il s’est soumis à une procédure de certification au sens de l ’art. 11, a obte- nu un label de qualité et a annoncé le résultat de la procédure de certification au Préposé fédéral à la protection des données. 6 Le Conseil f édéral règle les modalit és de d éclaration des fichiers de m ême que la tenue et la publication du registre; il pr écise le rôle et les t âches des conseillers à la protection des donn ées visés à l’al. 5, let. e; il r ègle la publication d ’une liste des maîtres de fichiers qui sont d éliés de leur devoir de d éclarer leurs fichiers selon l’al. 5, let. f. Art. 12, al. 2, let. a 2 Personne n’est en droit, sans motif justificatif, notamment de: a. traiter des donn ées personnelles en violation des principes d éfinis aux art. 4, 5, al. 1, et 7, al. 1; Art. 14 Abrogé Art. 15, al. 1 et 3 1 Les art. 28 à 28l du code civil4 régissent les actions et les mesures provisionnelles concernant la protection de la personnalit é. Le demandeur peut en particulier requ é- rir que le traitement des donn ées, et notamment leur communication à des tiers, soient interdits ou que les données soient rectifiées ou détruites. 3 Le demandeur peut requ érir que la rectification ou la destruction des donn ées, l’interdiction du traitement, et plus particuli èrement de la communication, la men- tion du caractère litigieux ou le jugement soient communiqués à des tiers ou publiés. 4 RS 210Loi fédérale sur la protection des données (LPD) 1972 Art. 15a (nouveau) Opposition au traitement de données personnelles 1 Si la personne concern ée s ’oppose au traitement des donn ées la concernant, le maître du fichier le suspend immédiatement, à moins qu’il ne repose sur une obliga- tion légale. 2 S’il accepte l’opposition, le maître du fichier cesse immédiatement tout traitement. 3 S’il rejette l’opposition, le maître du fichier doit faire valoir un motif justificatif au sens de l’art.13, dans un d élai de dix jours. S ’il ne peut pas suspendre le traitement au motif qu ’il repose sur une obligation l égale, le ma ître du fichier en informe la personne concernée sans délai. 4 La conservation et l ’archivage des données demeurent autorisés, dans tous les cas, jusqu’à ce que la situation juridique ait été clarifiée. 5 Si la personne concern ée ne requiert pas du juge l ’interdiction du traitement de données la concernant, leur rectification ou leur destruction (art. 15) dans un d élai de dix jours à compter de celui où elle a eu connaissance des motifs justificatifs, son opposition est réputée levée. 6 Le présent article n ’est pas applicable à la publication de donn ées dans la partie rédactionnelle d’un média à caractère périodique. Art. 16, al. 3 et 4 (nouveaux) 3 Celui qui traite des donn ées conjointement avec un organe f édéral est tenu d ’auto- riser ce dernier à effectuer ou faire exécuter des contrôles. Si le traitement est confi é à des tiers, l ’organe fédéral peut également effectuer ou faire ex écuter des contr ôles auprès de ceux-ci. 4 L’organe f édéral responsable peut r égler, dans le cadre d ’une convention, les modalités de contr ôle. Il est tenu de le faire lorsque le traitement des donn ées est effectué par des personnes privées ou à l’étranger. Art. 17, al. 2, let. b et c 2 Des données sensibles ou des profils de la personnalit é ne peuvent être traités que si une loi au sens formel le prévoit expressément, ou si exceptionnellement: b. le Conseil f édéral l’a autorisé en l’espèce, considérant que les droits des per- sonnes concernées ne sont pas menacés; ou si c. la personne concern ée y a, en l ’espèce, consenti ou a rendu ses donn ées accessibles à tout un chacun et ne s ’est pas oppos ée formellement au traite- ment. Art. 17a (nouveau) Traitement de données automatisé dans le cadre d’essais pilotes 1 Après avoir consult é le Pr éposé f édéral à la protection des donn ées, le Conseil fédéral peut autoriser, avant l ’entrée en vigueur d ’une loi au sens formel, le traite- ment automatisé de données sensibles ou de profils de la personnalité:Loi fédérale sur la protection des données (LPD) 1973 a. si les t âches qui n écessitent ce traitement sont r églées dans une loi au sens formel; b. si des mesures appropri ées sont prises aux fins de limiter les atteintes à la personnalité; et c. si la mise en œ uvre du traitement rend indispensable une phase d ’essai avant l’entrée en vigueur de la loi au sens formel. 2 Une phase d ’essai peut être considérée comme indispensable pour traiter les don- nées: a. si l ’accomplissement des tâches nécessite l’introduction d’innovations tech- niques dont les effets doivent être évalués; b. si l ’accomplissement des t âches nécessite la prise de mesures organisation- nelles importantes dont l ’efficacité doit être examinée, notamment dans le cadre d’une collaboration entre les organes fédéraux et les cantons; ou si c. le traitement n écessite une communication de donn ées sensibles ou de pro- fils de la personnalit é aux autorit és cantonales, par le biais d ’une procédure d’appel. 3 Le Conseil f édéral règle les modalit és du traitement automatis é par voie d ’ordon- nance. 4 L’organe f édéral responsable transmet, au plus tard deux ans apr ès la mise en œ uvre de la phase d ’essai, un rapport d ’évaluation au Conseil f édéral. Dans ce rapport, il lui propose la poursuite ou l’interruption du traitement. 5 Le traitement de donn ées automatisé doit être interrompu dans tous les cas si une base légale formelle n’est pas entrée en vigueur dans un d élai de cinq ans à partir de la mise en œ uvre de l’essai pilote. Art. 18, al. 2 Abrogé Art. 19, al. 1, let. b et c 1 Les organes f édéraux ne sont en droit de communiquer des donn ées personnelles que s’il existe une base juridique au sens de l’art. 17 ou si: b. la personne concern ée y a, en l’espèce, consenti; c. la personne concern ée a rendu ses donn ées accessibles à tout un chacun et ne s’est pas formellement opposée à la communication; ou si Art. 21 Proposition des documents aux Archives fédérales 1 Conformément à la loi f édérale du 26 juin 1998 sur l ’archivage5, les organes fédéraux proposent aux Archives f édérales de reprendre toutes les donn ées person- nelles dont ils n’ont plus besoin en permanence. 5 RS 152.1Loi fédérale sur la protection des données (LPD) 1974 2 Les organes fédéraux détruisent les donn ées personnelles que les Archives f édéra- les ont désignées comme n’ayant pas de valeur archivistique, à moins que celles-ci: a. ne soient rendues anonymes; b. ne doivent être conservées à titre de preuve ou par mesure de sûreté. Art. 26, al. 2 et 3 2 Il s’acquitte de ses tâches de manière autonome et est rattaché administrativement à la Chancellerie fédérale. 3 Il dispose d’un secrétariat permanent et de son propre budget. Art. 27, al. 6 (nouveau) 6 Le préposé a qualité pour recourir contre les décisions mentionnées à l’al. 5. Art. 29, al. 1, let. b, c et d (nouvelle) 1 Le préposé établit les faits d’office ou à la demande de tiers lorsque: b. le traitement porte sur des donn ées sensibles ou des profils de la personna- lité; c. des donn ées doivent être régulièrement communiquées à des tiers; d. il existe un devoir d ’information au sens de l’art. 6, al. 3. Art. 31, al. 1, let. d et let. e et f (nouvelles) 1 Le préposé a notamment les autres attributions suivantes: d. examiner dans quelle mesure le niveau de protection assur é à l’étranger est adéquat; e. examiner les garanties ainsi que les r ègles de protection des donn ées qui lui ont été annoncées selon l’art. 6, al. 3; f. examiner les proc édures de certification au sens de l ’art. 11 et émettre des recommandations y relatives au sens de l’art. 27, al. 4, ou de l’art. 29, al. 3. Art. 34, al. 1 et 2, let. a 1 Seront sur plainte punies des arrêts ou de l’amende les personnes privées: a. qui auront contrevenu à leurs obligations pr évues aux art. 7 a et 8 à 10, en fournissant intentionnellement des renseignements inexacts ou incomplets; b. qui, intentionnellement, auront omis: 1. d ’informer la personne concern ée, conformément à l ’art. 7 a, al. 1, ou 7b, ou 2. de lui fournir les indications pr évues à l’art. 7a, al. 2, let. a à c.Loi fédérale sur la protection des données (LPD) 1975 2 Seront punies sur plainte des arr êts ou de l ’amende les personnes priv ées qui intentionnellement: a. auront omis d ’informer le préposé, conformément à l’art. 6, al. 3, de déclarer les fichiers visés à l’art. 11a ou auront donn é des indications inexactes lors de leur déclaration; Art. 37, al. 1 1 A moins qu’il ne soit soumis à des dispositions cantonales de protection des don- nées assurant un niveau de protection adéquat, le traitement de données personnelles par des organes cantonaux en ex écution du droit f édéral est régi par les dispositions des art. 1 à 11a, 16, 17, 18 à 22 et 25, al. 1 à 3, de la présente loi. II Modification du droit en vigueur La loi fédérale du 30 avril 1997 sur la poste6, est modifiée comme suit: Art. 13, al. 1 1 Le traitement de données personnelles par la Poste est soumis aux dispositions des art. 12 à 15a de la loi fédérale du 19 juin 1992 sur la protection des donn ées (LPD)7. La surveillance s’exerce conformément aux règles applicables aux organes f édéraux (art. 23, 2e al., LPD). III Disposition transitoire Dans le délai d’un an à compter de l’entrée en vigueur de la pr ésente loi, les maîtres de fichier doivent être en mesure d ’assurer l’information des personnes concern ées au sens de l’art. 4, al. 4, et des art. 7a et 7b. IV 1 La présente loi est sujette au référendum. 2 Le Conseil fédéral fixe la date de l’entrée en vigueur. 6 RS 783.0 7 RS 235.1; RO … (FF 2003 1967)Schweizerisches Bundesarchiv, Digitale Amtsdruckschriften Archives fédérales suisses, Publications officielles numérisées Archivio federale svizzero, Pubblicazioni ufficiali digitali Loi fédérale sur la protection des données (LPD) (Projet) In Bundesblatt Dans Feuille fédérale In Foglio federale Jahr 2003 Année Anno Band 1 Volume Volume Heft 10 Cahier Numero Geschäftsnummer --- Numéro d'affaire Numero dell'oggetto Datum 18.03.2003 Date Data Seite 1967-1975 Page Pagina Ref. No 10 127 090 Die elektronischen Daten der Schweizerischen Bundeskanzlei wurden durch das Schweizerische Bundesarchiv übernommen. Les données électroniques de la Chancellerie fédérale suisse ont été reprises par les Archives fédérales suisses. I dati elettronici della Cancelleria federale svizzera sono stati ripresi dall'Archivio federale svizzero.