RS 235.3   1   Loi fédérale  sur la protection des données personnelles  dans le cadre de l’application de l’acquis de Schengen  dans le domaine pénal*  (Loi sur la protection des données Schengen, LPDS)   du 28 septembre 2018 (Etat le 1er mars 2019)     L’Assemblée fédérale de la Confédération suisse,  vu les art. 54, al. 1, 123 et 173, al. 2, de la Constitution1,   en exécution de la Directive (UE) 2016/6802,  vu le message du Conseil fédéral du 15 septembre 20173,   arrête:   Section 1 Dispositions générales   Art. 1 Objet  1 La présente loi règle le traitement de données personnelles effectué par les organes  fédéraux à des fins de prévention, d’élucidation et de poursuites d’infractions ou  d’exécution de sanctions pénales, y compris à des fins de protection contre les  menaces pour la sécurité publique et de prévention de telles menaces:   a. dans le cadre de l’application de l’acquis de Schengen;   b. dans le cadre de l’application d’accords internationaux conclus avec l’Union  européenne ou avec des Etats qui sont liés à la Suisse par l’un des accords  d’association à Schengen (Etats Schengen) et qui renvoient à la directive  (UE) 2016/680 pour ce qui est de la protection des données.   2 Les accords d’association à Schengen sont mentionnés en annexe.   Art. 2 Relation avec d’autres actes  1 La présente loi ne s’applique pas aux droits des personnes concernées dans le cadre  de procédures pendantes devant des tribunaux fédéraux ou dans le cadre de procé- dures pendantes régies par le code de procédure pénale4 ou par la loi du 20 mars       RO 2019 639   * Les termes désignant des personnes s’appliquent également aux femmes et aux hommes.  1 RS 101  2 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à   la protection des personnes physiques à l’égard du traitement des données à caractère per- sonnel par les autorités compétentes à des fins de prévention et de détection des infrac- tions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pé- nales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI  du Conseil, JO L 119 du 4.5.2016, p. 89.   3 FF 2017 6565  4 RS 312.0   235.3    Protection des données   2   235.3   1981 sur l’entraide pénale internationale5; ceux-ci sont régis par le droit de procé- dure applicable.  2 A défaut de disposition spéciale prévue par la présente loi, la loi fédérale du  19 juin 1992 sur la protection des données (LPD)6 s’applique; l’applicabilité  d’autres lois fédérales est réservée.   Art. 3 Définitions  1 On entend par:   a. données sensibles:  1. les données sur les opinions ou les activités religieuses, philosophiques   ou politiques,  2. les données sur la santé, la sphère intime ou l’origine raciale ou   ethnique,  3. les données génétiques,  4. les données biométriques identifiant une personne physique de façon   unique,  5. les données sur des mesures d’aide sociale,  6. les données sur des poursuites ou sanctions pénales et administratives;   b. profilage: toute forme de traitement automatisé de données personnelles  consistant à utiliser ces données pour évaluer certains aspects personnels  relatifs à une personne physique, notamment pour analyser ou prédire des  éléments concernant le rendement au travail, la situation économique, la san- té, les préférences personnelles, les intérêts, la fiabilité, le comportement, la  localisation ou les déplacements de cette personne;   c. violation de la sécurité des données: toute violation de la sécurité, sans égard  au fait qu’elle soit intentionnelle ou illicite, entraînant la perte de données  personnelles, leur modification, leur effacement ou leur destruction, leur di- vulgation ou un accès non autorisés à ces données;   d. décision individuelle automatisée: toute décision prise exclusivement sur la  base d’un traitement de données personnelles automatisé, y compris le profi- lage, et qui a des effets juridiques sur la personne concernée ou qui l’affecte  de manière significative;   e. sous-traitant: la personne privée ou l’organe fédéral qui traite des données  personnelles pour le compte de l’organe fédéral responsable.   2 Au demeurant, les définitions de l’art. 3 LPD7 s’appliquent.       5 RS 351.1  6 RS 235.1  7 RS 235.1     L sur la protection des données Schengen   3   235.3   Art. 4 Principes  1 Tout traitement de données personnelles doit être licite.  2 Il doit être effectué conformément aux principes de la bonne foi et de la propor- tionnalité.  3 Les données personnelles ne peuvent être collectées que pour des finalités détermi- nées et reconnaissables pour la personne concernée et doivent être traitées ultérieu- rement de manière compatible avec ces finalités.  4 Elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard  des finalités du traitement.  5 Celui qui traite des données personnelles doit s’assurer qu’elles sont exactes. Il  prend toute mesure appropriée permettant de rectifier, d’effacer ou de détruire les  données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont  collectées ou traitées.   Art. 5 Protection des données dès la conception et par défaut  1 Les organes fédéraux sont tenus de mettre en place, dès la conception du traite- ment, des mesures techniques et organisationnelles afin que celui-ci respecte les  prescriptions de protection des données et en particulier les principes fixés à l’art. 4.  2 Les mesures techniques et organisationnelles doivent être appropriées au regard  notamment de l’état de la technique, du type de traitement, de son étendue, ainsi que  du risque que le traitement des données en question présente pour les droits fonda- mentaux des personnes concernées.  3 Les organes fédéraux sont tenus, par le biais de préréglages appropriés, de garantir  que le traitement soit limité au minimum requis par la finalité poursuivie.   Art. 6 Bases légales relatives au traitement de données personnelles  1 Les organes fédéraux ne sont en droit de traiter des données personnelles que s’il  existe une base légale.  2 Une base légale fixée dans une loi au sens formel est nécessaire lorsqu’il s’agit:   a. du traitement de données sensibles;   b. du traitement de profils de la personnalité;   c. d’un profilage;   d. d’un mode de traitement de données personnelles susceptible de porter gra- vement atteinte aux droits fondamentaux de la personne concernée.   3 En dérogation aux al. 1 et 2, les organes fédéraux peuvent traiter des données  personnelles si l’une des conditions suivantes est remplie:   a. le traitement de données personnelles est nécessaire pour protéger la vie ou  l’intégrité corporelle de la personne concernée ou d’un tiers;   b. la personne concernée a rendu ses données personnelles accessibles à tout un  chacun et ne s’est pas opposée expressément au traitement.     Protection des données   4   235.3   Art. 7 Bases légales relatives à la communication de données personnelles   1 Les organes fédéraux ne sont en droit de communiquer des données personnelles  que si une base légale au sens de l’art. 6, al. 1 et 2 le prévoit.  2 En dérogation à l’al. 1, les organes fédéraux peuvent, dans un cas d’espèce, com- muniquer des données personnelles si l’une des conditions suivantes est remplie:   a. la communication des données est indispensable à l’accomplissement des  tâches légales de l’organe fédéral responsable ou du destinataire;   b. la communication de données personnelles est nécessaire pour protéger la  vie ou l’intégrité corporelle de la personne concernée ou d’un tiers;   c. la personne concernée a rendu ses données personnelles accessibles à tout un  chacun et ne s’est pas opposée expressément à la communication.   3 L’art. 19, al. 1bis à 4, LPD8 s’applique au demeurant.   Art. 8 Communication de données personnelles à l’étranger  1 La communication de données personnelles aux autorités compétentes des Etats  Schengen ne doit pas être soumise à des règles de protection des données person- nelles plus strictes que celles prévues pour la communication aux autorités pénales  suisses.  2 La communication de données personnelles à un Etat tiers ou à un organisme  international est régie par les dispositions spéciales des lois fédérales applicables.   Art. 9 Organe fédéral responsable et contrôle  1 Il incombe à l’organe fédéral responsable de pourvoir à la protection des données  personnelles qu’il traite ou fait traiter dans l’accomplissement de ses tâches.  2 Lorsqu’un organe fédéral traite des données personnelles conjointement avec  d’autres organes fédéraux, avec des organes cantonaux ou avec des personnes pri- vées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en  matière de protection des données.   Art. 10 Sous-traitance  1 Un traitement de données personnelles peut être confié à un sous-traitant pour  autant que les conditions de l’art. 10a LPD9 soient remplies.  2 Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec  l’autorisation préalable écrite de l’organe fédéral.       8 RS 235.1  9 RS 235.1     L sur la protection des données Schengen   5   235.3   Section 2 Obligations des organes fédéraux et des sous-traitants    Art. 11 Décision individuelle automatisée  1 L’organe fédéral informe la personne concernée de toute décision individuelle  automatisée (art. 3, al. 1, let. d) prise à son égard; il qualifie cette décision comme  telle.  2 Si la personne concernée le demande, l’organe fédéral lui donne la possibilité de  faire valoir son point de vue. La personne concernée peut exiger que la procédure  appliquée lui soit communiquée et que la décision soit revue par une personne  physique.  3 L’al. 2 ne s’applique pas lorsque la personne concernée dispose d’une voie de droit  contre la décision.   Art. 12 Registre des activités de traitement  1 Les organes fédéraux et les sous-traitants tiennent un registre des activités de  traitement.  2 Les registres des organes fédéraux contiennent au moins les indications suivantes:   a. le nom de l’organe fédéral;   b. la finalité du traitement;   c. une description des catégories des personnes concernées et des catégories  des données personnelles traitées;   d. les catégories des destinataires;   e. la durée de conservation des données personnelles ou, si cela n’est pas pos- sible, les critères pour déterminer la durée de conservation;   f. dans la mesure du possible, une description générale des mesures visant à  garantir la sécurité des données au sens de l’art. 7 LPD10;   g. l’Etat tiers ou l’organisme international auquel des données personnelles  sont communiquées ainsi que les garanties de protection des données per- sonnelles prévues.   3 Le registre du sous-traitant contient des indications concernant l’identité du sous- traitant et de l’organe fédéral, les catégories de traitements effectués pour le compte  de celui-ci ainsi que les indications prévues à l’al. 2, let. f.   Art. 13 Analyse d’impact relative à la protection des données personnelles  1 Lorsque le traitement envisagé est susceptible d’entraîner un risque élevé pour les  droits fondamentaux de la personne concernée, l’organe fédéral procède au préalable  à une analyse d’impact relative à la protection des données personnelles. S’il envi- sage d’effectuer plusieurs opérations de traitements semblables, il peut établir une  analyse d’impact commune.       10 RS 235.1     Protection des données   6   235.3   2 L’existence d’un risque élevé dépend, en particulier lors de l’utilisation de nou- velles technologies, de la nature, de l’étendue, des circonstances et de la finalité du  traitement. Un tel risque existe notamment dans les cas suivants:   a. le traitement de données sensibles ou de profils de la personnalité à grande  échelle;   b. le profilage.  3 L’analyse d’impact contient une description du traitement envisagé, une évaluation  des risques pour les droits fondamentaux de la personne concernée, ainsi que les  mesures prévues pour protéger ces droits fondamentaux.   Art. 14 Consultation du Préposé fédéral à la protection des données et  à la transparence   1 L’organe fédéral consulte le Préposé fédéral à la protection des données et à la  transparence (préposé) préalablement au traitement lorsque l’analyse d’impact rela- tive à la protection des données révèle que le traitement présenterait un risque élevé  pour les droits fondamentaux de la personne concernée si l’organe fédéral ne prenait  pas de mesures pour atténuer ce risque.  2 Le préposé communique à l’organe fédéral ses objections concernant le traitement  envisagé dans un délai de deux mois. Ce délai peut être prolongé d’un mois, lors- qu’il s’agit d’un traitement de données complexe.  3 Si le préposé a des objections concernant le traitement envisagé, il propose à  l’organe fédéral des mesures appropriées.   Art. 15 Annonce des violations de la sécurité des données  1 L’organe fédéral annonce dans les meilleurs délais au préposé les cas de violation  de la sécurité des données entraînant vraisemblablement un risque élevé pour les  droits fondamentaux de la personne concernée.  2 L’annonce doit au moins indiquer la nature de la violation de la sécurité des don- nées, ses conséquences et les mesures prises ou envisagées pour y remédier.  3 Le sous-traitant annonce dans les meilleurs délais à l’organe fédéral tout cas de  violation de la sécurité des données.  4 L’organe fédéral informe la personne concernée lorsque cela est nécessaire à sa  protection ou lorsque le préposé l’exige.  5 Il peut restreindre l’information de la personne concernée, la différer ou y renon- cer, dans les cas suivants:   a. les intérêts prépondérants d’un tiers l’exigent;   b. un intérêt public prépondérant, en particulier le maintien de la sûreté inté- rieure ou extérieure de la Suisse, l’exige;   c. l’information de la personne concernée est susceptible de compromettre une  enquête, une instruction ou une procédure administrative ou judiciaire;     L sur la protection des données Schengen   7   235.3   d. le devoir d’informer est impossible à respecter ou nécessite des efforts dis- proportionnés;   e. l’information de la personne concernée est garantie de manière équivalente  par une communication publique.   Art. 16 Conseiller à la protection des données  1 Les organes fédéraux désignent un conseiller à la protection des données. Ils peu- vent désigner un conseiller commun.  2 Le conseiller à la protection des données doit remplir les conditions suivantes:   a. il dispose des connaissances professionnelles nécessaires;   b. il n’exerce pas d’activités incompatibles avec ses tâches de conseiller à la  protection des données.   3 Le conseiller à la protection des données exerce notamment les tâches suivantes:   a. il conseille les organes fédéraux;   b. il promeut l’information et la formation des collaborateurs;   c. il concourt à l’application des prescriptions relatives à la protection des don- nées et propose des mesures s’il apparaît que des prescriptions relatives à la  protection des données ont été violées.   Section 3 Droits des personnes concernées   Art. 17 Droit d’accès   1 Le droit d’accès de la personne concernée est régi par l’art. 8 LPD11. En outre,  l’organe fédéral communique à la personne concernée:   a. les informations qui lui sont nécessaires pour qu’elle puisse faire valoir ses  droits en vertu de la présente loi;   b. des informations concernant la durée de conservation des données person- nelles ou, si cela n’est pas possible, les critères pour déterminer cette durée.   2 Les dispositions spéciales d’autres lois fédérales sont réservées.   Art. 18 Restriction du droit d’accès  1 La restriction du droit d’accès est régie par l’art. 9, al. 1 à 3 et 5, LPD12. En outre,  l’organe fédéral peut refuser, restreindre ou différer la communication des rensei- gnements lorsque la demande d’accès est manifestement infondée ou procédurière.  2 Les dispositions spéciales d’autres lois fédérales sont réservées.       11 RS 235.1  12 RS 235.1     Protection des données   8   235.3   Art. 19 Autres prétentions et procédure  1 Quiconque a un intérêt légitime peut exiger de l’organe fédéral responsable:   a. qu’il s’abstienne de procéder à un traitement illicite;   b. qu’il supprime les effets d’un traitement illicite;   c. qu’il constate le caractère illicite d’un traitement.  2 Le demandeur peut en particulier exiger que l’organe fédéral:   a. rectifie les données personnelles, les efface ou les détruise;   b. publie ou communique à des tiers sa décision concernant notamment la rec- tification, l’effacement ou la destruction des données, l’opposition à une  communication selon l’art. 20 LPD13 ou la mention du caractère litigieux  des données personnelles prévue à l’al. 4.   3 Au lieu d’effacer ou de détruire les données personnelles, l’organe fédéral limite le  traitement dans les cas suivants:   a. l’exactitude des données est contestée par la personne concernée et leur  exactitude ou inexactitude ne peut pas être établie;   b. des intérêts prépondérants d’un tiers l’exigent;   c. un intérêt public prépondérant, en particulier la sûreté intérieure ou exté- rieure de la Suisse, l’exige;   d. l’effacement ou la destruction des données est susceptible de compromettre  une enquête, une instruction ou une procédure administrative ou judiciaire.   4 Si l’exactitude ou l’inexactitude d’une donnée personnelle ne peut pas être établie,  il ajoute à la donnée la mention de son caractère litigieux.  5 La procédure est régie par la loi fédérale du 20 décembre 1968 sur la procédure  administrative (PA)14. Les exceptions prévues aux art. 2 et 3 de ladite loi ne sont pas  applicables.  6 Les dispositions spéciales d’autres lois fédérales sont réservées.   Art. 20 Procédure en cas de communication de documents officiels  contenant des données personnelles   Tant que l’accès à des documents officiels contenant des données personnelles fait  l’objet d’une procédure au sens de la loi du 17 décembre 2004 sur la transparence15,  la personne concernée peut, dans le cadre de cette procédure, faire valoir les droits  que lui confère l’art. 19 de la présente loi par rapport aux documents qui sont l’objet  de la procédure d’accès.       13 RS 235.1  14 RS 172.021  15 RS 152.3     L sur la protection des données Schengen   9   235.3   Section 4 Surveillance   Art. 21 Préposé   1 Le préposé est chargé de surveiller l’application des dispositions fédérales relatives  à la protection des données.  2 Il ne peut exercer aucune surveillance sur:   a. les tribunaux fédéraux;   b. le Ministère public de la Confédération en ce qui concerne le traitement de  données personnelles dans le cadre de procédures pénales;   c. les autorités fédérales en ce qui concerne le traitement de données per- sonnelles dans le cadre de procédures d’entraide judiciaire internationale en  matière pénale.   Art. 22 Enquête  1 Le préposé ouvre d’office ou sur dénonciation une enquête contre l’organe fédéral  ou le sous-traitant si des indices font penser qu’un traitement de données person- nelles pourrait être contraire à des dispositions de protection des données.  2 Il peut renoncer à ouvrir une enquête lorsque la violation des prescriptions de  protection des données est de peu d’importance.  3 L’organe fédéral ou le sous-traitant fournit au préposé tous les renseignements et  les documents qui lui sont nécessaires pour l’enquête. Le droit de refuser de fournir  des renseignements est régi par les art. 16 et 17 PA16.  4 Si la personne concernée est l’auteur de la dénonciation, le préposé l’informe des  suites données à celle-ci et du résultat d’une éventuelle enquête.   Art. 23 Pouvoirs  1 Lorsque l’organe fédéral ou le sous-traitant ne respecte pas son obligation de  collaborer, le préposé peut, dans le cadre de la procédure d’enquête, ordonner  notamment:   a. l’accès à tous les renseignements, documents, registres des activités et don- nées personnelles nécessaires pour l’enquête;   b. l’accès aux locaux et aux installations;   c. l’audition de témoins;   d. des expertises.  2 Il peut également ordonner des mesures provisionnelles pour la durée de l’enquête.       16 RS 172.021     Protection des données   10   235.3   Art. 24 Mesures administratives  1 Si des dispositions de protection des données sont violées, le préposé peut ordon- ner la mise en conformité, la suspension ou la cessation de tout ou partie du traite- ment ainsi que l’effacement ou la destruction de tout ou partie des données person- nelles.  2 Il peut suspendre ou interdire la communication de données personnelles à  l’étranger si elle est contraire aux dispositions légales applicables en matière de  communication de données personnelles à un Etat tiers ou à un organisme interna- tional.  3 Lorsque l’organe fédéral ou le sous-traitant a pris, durant l’enquête, les mesures  nécessaires au rétablissement d’une situation conforme aux prescriptions de protec- tion des données, le préposé peut se limiter à prononcer un avertissement.   Art. 25 Procédure  1 La procédure d’enquête et les décisions concernant les mesures visées aux art. 23  et 24 sont régies par la PA17.  2 Sous réserve de l’art. 349h du code pénal18, seul l’organe fédéral ou le sous-traitant  contre qui une enquête a été ouverte a qualité de partie.  3 Le préposé a qualité pour recourir contre les décisions sur recours du Tribunal  administratif fédéral.   Section 5  Assistance administrative entre le préposé et les autorités étrangères   Art. 26  1 Le préposé peut échanger des informations ou des données personnelles avec une  autorité d’un Etat Schengen chargée de la protection des données personnelles pour  l’accomplissement de leurs tâches légales respectives en matière de protection des  données, pour autant que les conditions suivantes soient réunies:   a. la réciprocité en matière d’assistance administrative est garantie;   b. les informations et les données personnelles échangées ne sont utilisées que  dans le cadre de la procédure liée à la protection des données personnelles à  la base de la demande d’assistance administrative;   c. l’autorité destinataire s’engage à ne pas divulguer les secrets professionnels,  d’affaires ou de fabrication;   d. les informations et les données personnelles ne sont communiquées à des  tiers qu’avec l’accord préalable de l’autorité qui les a transmises;       17 RS 172.021  18 RS 311.0     L sur la protection des données Schengen   11   235.3   e. l’autorité destinataire s’engage à respecter les charges et les restrictions  d’utilisation exigées par l’autorité qui lui a transmis les informations et les  données personnelles.   2 Pour motiver sa demande d’assistance administrative ou pour donner suite à une  demande d’assistance administrative de l’autorité requérante, il peut communiquer  notamment les indications suivantes:   a. le nom de l’organe fédéral responsable, du sous-traitant ou de tout autre tiers  participant au traitement;   b. les catégories de personnes concernées;   c. l’identité des personnes concernées lorsque sa communication est indispen- sable à l’accomplissement des tâches légales du préposé ou d’une autorité  d’un Etat Schengen chargée de la protection des données;   d. les données personnelles ou les catégories de données personnelles traitées;   e. les finalités des traitements;   f. les destinataires ou les catégories de destinataires;   g. les mesures techniques et organisationnelles.  3 Avant de transmettre à une autorité d’un Etat Schengen chargée de la protection  des données des informations susceptibles de contenir des secrets professionnels, de  fabrication ou d’affaires, il informe les personnes détentrices de ces secrets et les  invite à prendre position, à moins que cela ne s’avère impossible ou ne nécessite des  efforts disproportionnés.   Section 6 Disposition transitoire concernant les procédures en cours    Art. 27  La présente loi ne s’applique ni aux enquêtes du préposé pendantes au moment de  son entrée en vigueur ni aux recours pendants contre les décisions de première  instance rendues avant son entrée en vigueur. Dans ces cas, l’ancien droit s’applique.   Date de l’entrée en vigueur: 1er mars 201919       19 ACF du 30 janvier 2019 (RO 2019 625, ici 638)     Protection des données   12   235.3   Annexe  (art. 1, al. 2)   Accords d’association à Schengen   Les accords d’association à Schengen comprennent les accords suivants:   a. Accord du 26 octobre 2004 entre la Confédération suisse, l’Union euro- péenne et la Communauté européenne sur l’association de la Confédération  suisse à la mise en œuvre, à l’application et au développement de l’acquis de  Schengen20;   b. Accord du 26 octobre 2004 sous forme d’échange de lettres entre le Conseil  de l’Union européenne et la Confédération suisse concernant les Comités qui  assistent la Commission européenne dans l’exercice de ses pouvoirs exécu- tifs21;   c. Arrangement du 22 septembre 2011 entre l’Union Européenne et la Répu- blique d’Islande, la Principauté de Liechtenstein, le Royaume de Norvège et  la Confédération suisse sur la participation de ces Etats aux travaux des  comités qui assistent la Commission Européenne dans l’exercice de ses pou- voirs exécutifs dans le domaine de la mise en œuvre, de l’application et du  développement de l’acquis de Schengen22;   d. Accord du 17 décembre 2004 entre la Confédération suisse, la République  d’Islande et le Royaume de Norvège sur la mise en œuvre, l’application et le  développement de l’acquis de Schengen et sur les critères et les mécanismes  permettant de déterminer l’État responsable de l’examen d’une demande  d’asile introduite en Suisse, en Islande ou en Norvège23;   e. Accord du 28 avril 2005 entre la Confédération suisse et le Royaume du  Danemark sur la mise en œuvre, l’application et le développement des par- ties de l’acquis de Schengen basées sur les dispositions du Titre IV du Traité  instituant la Communauté européenne24;   f. Protocole du 28 février 2008 entre la Confédération suisse, l’Union euro- péenne, la Communauté européenne, et la Principauté de Liechtenstein sur  l’adhésion de la Principauté de Liechtenstein à l’accord entre la Confédéra- tion suisse, l’Union européenne et la Communauté européenne sur l’asso- ciation de la Confédération suisse à la mise en œuvre, à l’application et au  développement de l’acquis de Schengen25.       20 RS 0.362.31  21 RS 0.362.1  22 RS 0.362.11  23 RS 0.362.32  24 RS 0.362.33  25 RS 0.362.311