Pas de vidéosurveillance dans un immeuble si les locataires s’y opposent

Pour le Tribunal fédéral, la vidéosurveillance des parties communes d’un immeuble locatif est susceptible de porter atteinte de manière inadmissible à la sphère privée des locataires (arrêt 4A_576/2015 du 29 mars 2016). L’opposition d’un seul des locataires peut suffire à faire démonter les caméras qui filment les parties communes qu’il traverse régulièrement.

La surveillance vidéo, une atteinte significative
La surveillance mise en place dans ce petit immeuble de 24 appartements (trois fois huit appartements) n’était pas particulièrement inhabituelle. Pour prévenir les actes de vandalisme et les effractions, les propriétaires de l’immeuble avaient installé douze caméras dans les parties communes (à l’intérieur et à l’extérieur), avec l’accord de la majorité des habitants. Les images étaient effacées après 24 heures et les caméras étaient clairement visibles. Il n’était en revanche pas possible d’entrer sans être dans leur champ d’enregistrement.

Les images de vidéosurveillance permettent d’identifier une personne et sont donc des données personnelles. Il n’est pas nécessaire qu’elles soient de bonne qualité pour savoir que la personne qui entre et ressort régulièrement d’un appartement et qui a la même apparence qu’un locataire est précisément ce locataire.

Une pesée d’intérêts
Le propriétaire n’a pas un intérêt inconditionnel à la pose de caméras. Le tribunal reconnaît que dans le cas d’un immeuble anonyme (de par sa grandeur), on peut voir un intérêt à la pose d’une caméra dans la zone d’entrée s’il y a un risque concret de détériorations. Il faut donc effectuer une pesée d’intérêts entre les risques que vise à éviter la surveillance et l’atteinte portée aux locataires. Dans le cas précis, l’absence de risques concrets et la taille de l’immeuble ne peuvent pas être considérés comme supérieurs à ceux du locataire. Le tribunal a ordonné le démontage des caméras filmant l’entrée utilisée par le locataire qui s’y oppose, ainsi que le couloir lui permettant de se rendre à la buanderie. Les neuf caméras placées dans les autres parties de l’immeuble (entrées séparées) peuvent en revanche être conservées vu que les autres habitants y ont consenti.

Les droits du locataire
Le droit du bail ne prévoit pas de régime particulier en matière de protection des données. Il est néanmoins intéressant de constater que, dans le cas présent, le tribunal a clairement fait prévaloir les intérêts des locataires sur ceux des bailleurs même s’il a expressément renoncé à répondre à la question de savoir si  le locataire avait un droit (découlant du contrat de bail) à un usage de l’objet loué sans être observé.

De la même manière que le bailleur ne peut pas se rendre dans un appartement sans l’accord du locataire, le bailleur ne peut pas filmer un appartement sans le consentement du locataire. Ici la protection offerte par la Loi sur la protection des données va encore plus loin puisqu’il n’était pas question de l’intérieur de l’appartement mais seulement de l’extérieur de la porte d’entrée et de parties communes. C’est néanmoins avec raison que la protection de la personnalité et de la sphère privée du locataire ont été prises en compte dans ces espaces. Une surveillance durable de l’entrée permet en effet de procéder à une analyse systématique du comportement du locataire concerné, ce qui constitue une atteinte importante à sa sphère privée.

Les mêmes droits devraient être reconnus à une personne qui se rend régulièrement dans l’immeuble, en particulier si elle n’a pas le choix de s’y rendre (parce qu’elle effectue des nettoyages, du gardiennage, consulte un médecin à cette adresse, etc.). Plus la personne est souvent dans le champ des caméras, plus sa situation devra être prise en compte dans la pesée des intérêts.

 

Un droit d’accès étendu pour savoir qui a consulté des données?

Le Conseil des États, suivant ainsi le Conseil national, a chargé le Conseil fédéral de légiférer pour donner la possibilité aux propriétaires de savoir qui a accédé aux informations non publiques les concernant. Cette extension du droit d’accès doit permettre de lutter contre les abus car avec l’accès automatique il n’y a plus de vérification de l’existence d’un intérêt légitime avant la consultation.

Le droit d’accès en général
Le droit d’accès est le droit de chacun de demander au maître d’un fichier si des données qui le concerne sont traitées et cas échéant d’en recevoir une copie écrite.

Le maître du fichier, c’est-à-dire la personne responsable du traitement des données, doit lui communiquer toutes les données qui le concernent et qui sont contenues dans le fichier (y compris cas échéant les informations disponibles sur l’origine des données), le but et éventuellement la base juridique du traitement, les catégories de données personnelles traitées, les catégories de participants au fichier (soit les personnes pouvant introduire des données) et les catégories de destinataires des données (art. 8 LPD).

Le droit d’accès ne prévoit en principe pas la communication de la liste des destinataires mais seulement de leurs catégories (employeur, autorités, assurance, public, etc.). A noter que si la communication à des tiers n’est pas un but reconnaissable par la personne concernée, une information à ce sujet doit lui être donnée préalablement (et indépendamment du droit d’accès).

Le registre foncier
Le registre foncier permet de connaître les différents droits portant sur un immeuble. Certaines informations sont publiques et chacun peut, sans devoir justifier d’un intérêt, connaître le nom et l’identité du propriétaire d’un immeuble, le type de propriété et la date d’acquisition, la désignation de l’immeuble et son descriptif.

Ces informations sont délivrées par les offices du registre foncier et sont accessibles sur Internet. La loi prévoit que le système doit être protégé contre les appels en série et les données ne peuvent être consultées qu’en relation avec un immeuble déterminé.

Les personnes qui justifient d’un intérêt ont le droit de consulter les autres informations contenues dans le registre foncier, en particulier, les droits de gages immobiliers et les annotations. Depuis 2013, plusieurs cantons permettent aux autorités et aux professionnels de conclure un abonnement afin de disposer d’un droit d’accès permettant d’effectuer directement des requêtes dans le système électronique d’informations foncières susmentionné. L’accès en est facilité mais il n’y a plus de contrôle de l’intérêt à effectuer la requête, ce qui représente un risque d’abus. Les accès sont en revanche conservés durant deux ans.

Pour limiter ce risque, la motion Egloff  charge le Conseil fédéral de modifier l’Ordonnance sur le registre foncier pour permettre aux propriétaires fonciers de savoir qui a consulté les enregistrements concernant leurs immeubles. L’existence même de cette possibilité (et la crainte d’être découvert) devrait déjà limiter les consultations injustifiées. Cela permettra aussi aux propriétaires de signaler d’éventuels abus à l’autorité de surveillance du système eGRIS.

Une extension dans d’autres domaines ?
Une extension du droit d’accès pour connaître la liste des personnes qui ont pu accéder aux données pourrait également s’appliquer dans d’autres domaines comme pour les extraits du registre des poursuites ou lorsque l’accès aux données se fait par une procédure d’appel. Lors des procédures d’appel, c’est-à-dire lorsque le destinataire des données décide de la communication, il n’y a en effet pas de contrôle et d’autorisation du maître du fichier pour cette communication en particulier. Une telle procédure est assez courante entre les différentes entités d’une administration par exemple.

On pourrait aussi imaginer, dans le cadre de la révision en cours de la Loi fédérale sur la protection des données par exemple, une extension du droit d’accès en général pour inclure les personnes qui ont consulté les données.  Cela ne devrait pas forcément s’appliquer à toutes les données, mais par exemple aux données sensibles et aux profils de personnalité. Il semble légitime pour la personne concernée de pouvoir savoir avec qui une entreprise a partagé le profil de personnalité et de solvabilité établi à son sujet.

Les «boîtes noires» des assureurs dans les véhicules automobiles

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a publié à fin 2015 ses «Explications concernant les systèmes «Pay as you drive» (PAYD) et l’utilisation de «boîtes noires» dans les véhicules automobiles».

Les compagnies d’assurances proposent depuis quelques temps aux conducteurs d’embarquer dans leurs véhicules une boîte noire qui enregistre le comportement de conduite. Les données traitées varient significativement d’un produit à l’autre, le but pouvant être simplement de disposer des informations précédant immédiatement un accident ou d’analyser le profil de conduite et les habitudes du conducteur. Les primes d’assurance sont ensuite adaptées en fonction du risque estimé et le profil établi pourrait être utilisé en matière d’assurance vie, d’assurance invalidité ou d’assurance accidents.

Ces systèmes ne sont pour l’instant qu’une des variantes proposées à l’assuré. Comme le relève le PFPDT, le phénomène d’antisélection (adverse selection) va pousser les assurés à faibles risques vers un tarif PAYD plus intéressant financièrement. Seuls les assurés à hauts risques et les assurés qui s’opposent à ces traitements de données choisiront de rester assujettis à la tarification classique. Ce phénomène pourrait se traduire par une augmentation substantielle de leurs primes, au point même de contraindre ces assurés de passer au tarif PAYD, sous peine de se retrouver trop pénalisés financièrement. Les assurés seraient ainsi économiquement contraints d’accepter l’établissement d’un profil de leur personnalité fondé sur leur comportement au volant.

Proportionnalité et respect du but initial
Les données personnelles collectées par un système PAYD ne peuvent être traitées qu’avec l’accord de l’assuré qui doit être informé préalablement et en détail. Pour consentir librement, il doit avoir le choix entre plusieurs solutions équivalentes.

Pour le PFPDT, il importe avant tout de définir d’emblée le but dans lequel les données seront utilisées et d’opérer parmi elles une sélection afin que seules soient retenues les données absolument indispensables. La collecte de données de comportement non liées à un événement particulier ne doit pas aboutir à l’établissement d’un profil du comportement de conduite si détaillé qu’il permettrait de tout savoir des déplacements et de la personnalité du conducteur.

Une première exploitation devrait ensuite être effectuée par la boîte noire elle-même, afin que ne soient transmises à l’assureur que les données dont il a besoin pour définir le tarif PAYD. Ce stockage et l’exploitation décentralisée des données garantirait que l’assureur n’accède qu’à des données agrégées qui ne lui permettraient pas d’effectuer des analyses plus approfondies ou sans lien avec la tarification.

La boîte noire installée dans le véhicule doit finalement être protégée contre toute utilisation abusive et tout accès non autorisé.

Mesures de contrôle du taux d’alcoolémie des personnes employées par une commune

Un employé communal qui exerce une activité pouvant exposer des tiers ou lui-même à un danger peut être invité à se soumettre à un contrôle de son taux d’alcoolémie si une loi le prévoit et que la mesure est effectuée par un médecin ou l’un de ses auxiliaires médicaux, comme cela ressort d’un avis rendu par le Préposé à la protection des données et à la transparence Jura Neuchâtel (avis 2015.1088). L’employé ne peut pas y être contraint, mais il doit être rendu attentif aux conséquences d’un refus comme dans le cas d’un contrôle de sécurité.

Des données personnelles sensibles
La personnalité des travailleurs est protégée par la Constitution fédérale et la CEDH notamment. Pour toute démarche qui y porte atteinte, l’Etat doit disposer d’une base légale et la mesure être proportionnée. Les art. 82 LAA et 6 de la Loi sur le travail, également applicables aux entreprises privées, obligent l’employeur à prendre les mesures nécessaires pour protéger l’intégrité personnelle des travailleurs. L’employeur peut en particulier limiter ou interdire la consommation de boissons alcoolisées (art. 35 al. 3 OLT 3). Cette interdiction ne concerne que le temps de travail et les heures précédant la prise du travail pour les activités qui requièrent une sobriété totale.

Le taux d’alcoolémie est une donnée personnelle relative à la santé de la personne contrôlée. De même que le certificat médical constatant l’aptitude ou l’inaptitude d’un collaborateur qui s’est soumis à un test d’alcoolémie, cette information est une donnée personnelle sensible au sens de la loi.

Les employés effectuant des tâches sans risque pour eux ou des tiers ne peuvent pas être soumis à des tests d’alcoolémie. En cas de soupçons, l’employeur peut seulement évaluer l’inaptitude au travail.

Des contrôles avec l’accord du travailleur en cas de soupçon et de danger
Des contrôles préventifs sont disproportionnés, sauf dans des cas très particuliers où la consommation d’alcool crée un danger pour la sécurité du travailleur ou des tiers. Un contrôle du taux d’alcoolémie peut en revanche intervenir lorsque le travailleur semble incapable d’exécuter son travail sans mettre lui-même ou des tiers en danger. Ce sera le cas par exemple pour les professions impliquant un port d’armes ou nécessitant une maîtrise absolue (médecin, chauffeur, etc.).

L’exécution des contrôles doit être confiée à un médecin (interne ou externe) qui indiquera seulement si le résultat est de nature à affecter la capacité de travail et si oui dans quelle mesure. Ce sont les mêmes principes que ceux appliqués aux contrôles médicaux lorsque l’employeur veut faire vérifier l’incapacité de travail alléguée par un employé.

Le travailleur doit consentir préalablement au contrôle et à la transmission de l’information. En cas de refus, il devra supporter au niveau de la charge de la preuve les conséquences de son refus.

Indépendamment des contrôles, il n’est pas inutile de rappeler que l’employeur a une obligation d’empêcher le travailleur d’effectuer une tâche le mettant ou des tiers en danger, ce qui parfois peut résulter dans des situations difficiles. De son côté, l’employé doit être apte à effectuer les tâches qui lui sont confiées, conformément au devoir de diligence.

LSCPT et PNR, des accronymes pour conserver des données malgré leur illégalité

Le Conseil national s’est rallié lundi au Conseil des Etats et a accepté de ne pas prolonger à douze mois la conservation des données secondaires par les opérateurs de télécommunications comme le souhaitait pourtant le Conseil fédéral dans son projet de nouvelle Loi fédérale sur la surveillance de la correspondance par poste et télécommunication (LSCPT). La durée actuelle de six mois est donc maintenue. Cela peut paraître comme une victoire des défenseurs de la sphère privée, mais la conservation même de ces données est problématique du point de vue légal.

La Cour de justice de l’Union européenne (CJUE) a rendu ces dernières années quelques décisions fondamentales en matière de protection des données, comme la confirmation d’un droit au déréférencement (souvent appelé à tort droit à l’oubli), l’annulation du «Safe Harbor» et la remise en cause du transfert de données vers les U.S., ainsi que l’annulation de la directive sur la conservation des données. Cette directive a été purement et immédiatement annulée le 8 avril 2014 en raison de son atteinte grave à la sphère privée. Elle prévoyait, de manière semblable à la LSCPT, une obligation des fournisseurs de services de communications électroniques accessibles au public de conserver les données relatives au trafic, à la localisation et à l’identification des utilisateurs.

Les données accessoires ne sont pas anodines
La conservation indiscriminée et durable des données de tous les utilisateurs, dont l’essentiel n’est soupçonné d’aucun crime, constitue un traitement des données personnelles. Ces données accessoires ou métadonnées ne concernent pas le contenu des communications, mais elles permettent de tirer des conclusions très précises, telles que les habitudes de la vie quotidienne, les lieux de séjour, les déplacements, les activités exercées et les relations sociales. Ces données paraissent anodines mais elles sont extrêmement révélatrices. Il suffit de quatre points de localisation du type de ceux fournis par une antenne auquel se connecte un téléphone mobile pour identifier de manière unique 95% des individus.

La lutte contre la criminalité grave et la défense de la sécurité publique sont des intérêts légitimes qui peuvent justifier la conservation et l’analyse de certaines données, mais pas celles de tous les citoyens. La conservation systématique et sans exception des données accessoires de communications de tous les utilisateurs pour une durée déterminée est disproportionnée selon la jurisprudence de la Cour. La conservation de ces données, indépendamment même de leur exploitation, viole déjà de manière grave la sphère privée garantie par la Constitution. Quelques pays d’Europe ont déjà renoncé à la conservation systématique et des procédures judiciaires sont en cours dans d’autres.

Les droits fondamentaux servent à protéger le citoyen contre les abus de l’Etat et sont la garantie du bon fonctionnement de l’administration et de la confiance en l’Etat. Seule une dictature peut se permettre de s’en passer. C’est surtout lorsque la tentation de les réduire est grande qu’ils sont importants et qu’il faut y être particulièrement attentif.

Le droit doit poser des limites
Depuis les attentats de Paris, il est peut être nécessaire de revoir certaines mesures de prévention, y compris de renforcer les possibilités d’action de la police. Cela peut et doit se faire dans le respect des citoyens et de la Constitution. L’émotion ne doit pas conduire le législateur à adopter des normes qu’il regrettera ou ne contrôlera plus. Tout ce qui est techniquement réalisable n’est pas justifiable. On peut certes suivre les habitants d’une ville en permanence au moyen de caméras de surveillance et de leurs abonnements de transport public, connaître leur état de santé au moyen d’applications et d’appareils connectés, etc.

D’aucuns souhaitent avoir des citoyens transparents et tout connaître de leur vie. On peut néanmoins se demander qui est réellement prêt à vivre sans rideaux et dévoiler sa vie intime, qui est prêt à être présumé coupable en tout temps et toutes circonstances, qui est prêt à ne plus pouvoir penser à haute voix sans conséquences, qui est prêt à renoncer si facilement à des droits que d’autres ont défendus au sacrifice de leur vie. La Constitution donne à chacun le droit d’avoir une sphère privée et il faut un motif suffisant à l’Etat pour justifier une intrusion. Le soupçon de commission d’une infraction grave en est un et justifie des écoutes téléphoniques ou d’autres mesures. Un tel soupçon doit sans aucun doute aussi permettre la conservation de données. Le fait qu’une personne puisse éventuellement être soupçonnée dans plusieurs mois ne justifie en revanche pas la collecte systématique des données de tous les habitants du pays.

Augmenter massivement le nombre de données collectées n’en assure pas un meilleur traitement. Ficher un grand nombre de personnes permet tout au plus a posteriori de constater que la personne était fichée, mais guère plus. Dans le cadre de la lutte contre le terrorisme par exemple, on aura ainsi beaucoup de personnes à risques, mais trop pour que des mesures puissent être prises. Le volume de données à traiter conduira également à une qualité d’information plus faible et des dérapages plus fréquents, comme ce fut le cas avec la seconde affaire des fiches.

De nombreux reproches ont été faits aux américains pour leurs réactions suite aux attentats de 2001 mais la réaction européenne depuis Paris n’en est guère différente. Il y a quelques semaines la CJUE annulait le programme Safe Harbor en raison de l’accès indiscriminé des autorités américaines aux données transmises. Le Préposé suisse à la protection des données a suivi le même raisonnement.

Tracer tous les passagers aériens
La peur du terrorisme a pourtant eu raison des parlementaires européens qui mettaient en doute l’utilité et la légalité du PNR (Passenger Name Record) européen. Ce registre d’informations sur les passagers des compagnies aériennes contiendra des données (numéro de passeport, coordonnées, trajet effectué, nombre de bagages, moyens de paiement) pour tracer les terroristes. En réalité, il tracera surtout toutes les personnes qui voyagent en avion et établir des profils et des types de comportement déviants. Il fait peu de doute que ce programme ne respecte pas la jurisprudence de la CJUE et ne résistera pas à son examen.

Les parlementaires adoptent des lois dans le cadre des pouvoirs que leur donne la Constitution. Il est important qu’ils la respectent et prennent leurs responsabilités pour adopter des lois conformes. Si l’Etat ne respecte pas sa loi fondamentale, comment peut-il ensuite être crédible et espérer obtenir que des entreprises multinationales soient sensibles à ses demandes et se restreignent dans la collecte des données de leurs utilisateurs ?

Il arrive malheureusement parfois que des lois violent les droits des citoyens et dans ce cas il n’y a plus qu’à compter sur les tribunaux pour le constater. La Suisse ne connaissant pas de cour constitutionnelle, il ne reste dans un tel cas qu’à attendre qu’un tribunal doive se prononcer dans un cas particulier et refuse d’appliquer la loi. On peut alors espérer que le parlement fasse preuve de sagesse et respecte cette décision et accepte de corriger la loi. Pendant ce temps pourtant, nos données continueront d’être conservées illégalement.

Ce billet a été publié dans l’édition de l’Agefi du 10 décembre 2015

Le Préposé s’écarte du Safe Harbor suisse

Par une modification non datée sur son site Web, vraisemblablement le 22 octobre 2015, le PFPDT indique que «tant que la Suisse n’a pas renégocié un nouvel accord avec le gouvernement américain, l’accord «U.S.-Swiss Safe Harbor Framework» ne constitue plus une base légale suffisante pour une transmission de données personnelles aux États-Unis compatible avec la loi suisse sur la protection des données (LPD)».

Cette analyse n’est pas incohérente avec la décision de la CJUE, mais elle est surprenante pour plusieurs raisons :

  • elle a lieu au travers d’une modification du site web ;
  • le PFPDT n’a apparemment pas dénoncé l’accord qui demeure juridiquement valable ;
  • aucune décision judiciaire n’a été rendue ;
  • ce changement de position entre immédiatement en vigueur, alors que l’état de la législation américaine et les conditions de l’accord sont connues depuis longtemps.

Le PFPDT demande aux entreprises concernées de convenir de garanties contractuelles au sens de l’art. 6 al. 2 lit. a LPD d’ici fin janvier 2016, bien qu’il admette que ces clauses standards ne règlent pas le problème d’accès disproportionnés des autorités (soit la raison principale pour laquelle le transfert est illégal).

Il recommande finalement d’informer les personnes concernées lorsque les autorités US accèdent (concrètement) aux données.

Commentaire
Pour les individus concernés, on peut se réjouir que le PFPDT suive le mouvement européen et veuille exiger des USA plus de garanties.

En revanche, les entreprises suisses sont mises dans une situation difficile alors que rien n’obligeait le PFPDT à prendre cette décision aujourd’hui, sans avoir de solution de rechange à proposer.

Il admettait jusqu’à présent que le transfert sur la base du Safe Harbor était légale. C’est sur ses recommandations que de nombreuses entreprises ont pris la décision d’y recourir. Alors que la situation américaine n’a pas changé ces derniers mois, il déclare soudainement que le transfert est illégal. Les moyens de rechange proposés pourraient d’ailleurs bien être déclarés insuffisants par un tribunal, ce qui signifie que les maîtres de fichiers suisses doivent trouver une solution alors que le PFPDT (et ses homologues européens) n’en n’ont pas.

Affaire à suivre…

La CJUE annule le Safe Harbor, et en Suisse?

Dans une nouvelle décision majeure pour la protection des données, la Cour de justice de l’Union Européenne (CJUE) a invalidé la décision par laquelle la Commission européenne avait admis que les entreprises américaines ayant adhéré au Safe Harbor assurent un niveau de protection suffisant des données à caractère personnel européennes qui leur étaient transférées. Cette décision du 6 octobre 2015 fait suite à la demande de Max Schrems adressée à l’autorité irlandaise de protection des données de vérifier la légalité du transfert des données personnelles par Facebook de l’Irlande vers les USA.

Des données personnelles peuvent être transmises (et traités) dans un pays tiers s’il offre un niveau de protection adéquat. C’est le cas pour les pays de UE et la Suisse. Dans les autres cas, des garanties supplémentaires sont nécessaires. Elles peuvent prendre la forme de clauses contractuelles (entre l’exportateur et l’importateur), parfois le consentement des personnes concernées, où encore l’adhésion au Safe Harbor.

Le Safe Harbor est un accord conclu entre l’UE et les USA qui prévoit un certain nombre de principes que les sociétés américaines qui choisissent de s’y soumettre s’engagent à respecter. Un contrôle est exercé par la FTC américaine. Le transfert de données vers ces sociétés était automatiquement considéré comme adéquat, alors qu’il ne l’est en principe pas vers les USA (en l’absence de garanties contractuelles spécifiques, consentement de la personne concernée, etc.).

La CJU a considéré premièrement que la Commission européenne ne pouvait pas retirer le pouvoir des autorités nationales de protection des données d’examiner la légalité d’un transfert international de données personnelles. Deuxièmement, elle retient que le cadre juridique actuel aux USA permet à l’Etat d’accéder de manière massive et indiscriminée aux données personnelles. Le Safe Harbor ne soustrait évidemment pas les entreprises américaines à leur devoir de respecter le cadre légal de leur pays.

Quelles conséquences ?
Le transfert de données sur la base de l’US-EU Safe Harbor n’est plus légal. Le Groupe de l’article 29 qui réunit les autorités européennes de protection des données a laissé un délai de grâce de trois mois aux législateurs et entreprises pour trouver une solution. Des garanties contractuelles (contrats-types notamment) peuvent toujours être utilisées.

La CJUE ne devait se prononcer que sur les questions qui lui étaient posées et qui concernaient la validité du Safe Harbor. Elle a cependant confirmé que c’est bien le cadre légal américain qui est problématique. Il n’est pourtant pas possible d’y déroger par contrat et à l’issue du délai de trois mois on peut s’attendre à ce que les autorités de protection des données interdisent tout transfert aux USA, indépendamment du cadre juridique choisi. Une telle solution n’est pratiquement pas envisageable et tant l’Europe que les USA ont intérêts à trouver un accord rapidement.

Et en Suisse ?
La Suisse a un accord séparé avec les USA et n’est pas membre de l’Union européenne. Elle n’est pas concernée par la décision de la CJUE et le US-Swiss Safe Harbor est toujours parfaitement valable. Le PFPDT a néanmoins déjà indiqué qu’un nouvel accord ne pourrait que être coordonné avec l’UE. Ainsi au regard du droit suisse le transfert demeure légal. Il pourrait cependant être interdit par un juge qui serait saisi d’une demande dans un cas d’espèce. Il n’y a guère de raisons pour qu’un tribunal suisse aboutisse à un raisonnement différent.

Le PFPDT pourrait aussi déclarer que le US-Swiss Safe Harbor n’offre pas un niveau de protection adéquat. Etant donné qu’il l’a lui-même signé (contrairement à l’UE où c’était la Commission et non les autorités nationales), cela semble plus délicat. De plus, autant que les raisons qui ont justifié la décision de la CJUE sont connues depuis plusieurs années et le PFPDT aurait aussi pu agir plus tôt.

Que faut-il faire ?
La situation est très incertaine. Les transferts depuis l’Europe ne peuvent plus être justifiés par le Safe Harbor et il convient de le remplacer par un accord contractuel. En Suisse cela n’est pas nécessaire.

Dans le cas de nouveaux transferts, on évitera de recourir au Safe Harbor. Finalement, les entreprises devraient vérifier sur quelles bases elles communiquent des données à l’étranger afin d’être en mesure de réagir rapidement en cas de modifications du cadre légal. C’est aussi l’occasion de s’assurer que les conditions de délégation du traitement sont bien réglées.

Même si le maître du fichier reste responsable du traitement, il serait particulièrement sévère de lui reprocher de s’être fié aux recommandations de l’autorité compétente. Dans tous les cas, une solution politique et pragmatique devra être apportée rapidement et il faut rester attentif aux évolutions à venir.

Voir également: Le Préposé s’écarte du Safe Harbor suisse