Citation: BGE 149 II 302 E. 4.5

Pour être admis à participer à l'échange automatique de renseignements fondé sur la Norme EAR, un Etat doit notamment montrer qu'il est en mesure d'assurer une protection suffisante des données dans sa législation et dans sa pratique (cf. OCDE, Rapport 2017 précité, p. 23). La confidentialité et la sécurité des informations échangées, de même que leur utilisation conforme au but de l'échange automatique, est en effet l'une des exigences fondamentales de la Norme EAR (Exigence fondamentale n° 3) et fait l'objet de termes de référence spécifiques dans le cadre des contrôles périodiques effectués ensuite par les pairs (peer reviews). Les composantes de cette exigence fondamentale sont les suivantes (OCDE, Termes de référence pour les évaluations de la confidentialité et de la protection des données): 1) un cadre juridique garantissant la confidentialité et l'utilisation appropriée des renseignements échangés conformément aux instruments juridiques internationaux ("Exigence fondamentale 3.1"); 2) un système de gestion de la sécurité de l'information conforme aux normes ou aux bonnes pratiques reconnues au niveau international ("Exigence fondamentale 3.2") et 3) des dispositions et des processus d'application visant à remédier aux cas de violation de la confidentialité et d'utilisation abusive de renseignements ("Exigence fondamentale 3.3"). BGE 149 II 302 S. 307 L'importance de la confidentialité et de la protection des données se traduit aussi dans le MCAA. La Section 5 du MCAA rappelle ainsi que tous les renseignements échangés sont soumis aux obligations de confidentialité et prévoit un système de notification de tout manquement à cet égard par un Etat partenaire, alors que la Section 7 par. 3 MCAA permet de suspendre l'EAR avec un Etat partenaire en cas de problème de confidentialité des données, qui est qualifié de manquement grave à l'accord.