C – 01/2023 | Première version | 31.08.2023

Commission de haute surveillance de la prévoyance professionnelle CHS PP

Communications de la CHS PP C – 01/2023 français

Nouvelle loi sur la protection des données – Classification des experts en prévoyance professionnelle

Edition du: 31 août 2023

1 Situation initiale

Le 1er septembre 2023, la nouvelle loi sur la protection des données totalement révisée (nLPD) entrera en vigueur avec la nouvelle ordonnance sur la protection des données (nOPD) également totalement révisée. Parallèlement, l'art. 85a de la loi fédérale sur la prévoyance professionnelle vieillesse, survivants et invalidité (LPP ; RS 831.40) sera adapté avec la suppression du terme « profils de la personnalité » et l'ajout d'un nouvel alinéa 2. Dans le cadre de la mise en œuvre de ces modifications, la Chambre suisse des experts en caisses de pensions (CSEP) a demandé à la CHS PP, en tant qu'autorité d'agrément, de se prononcer sur la question de savoir si les experts en prévoyance professionnelle sont considérés comme des personnes privées ou comme des organes fédéraux au sens de la LPD révisée.

2 Délimitation entre personnes privées et organes fédéraux

La LPD révisée s'applique au traitement de données personnelles de personnes physiques par des personnes privées et des organes fédéraux (art. 2, al. 1, nLPD). Cette distinction est importante, car les organes fédéraux sont soumis à des règles de protection des données plus strictes et plus détaillées que les personnes privées. En particulier, la nomination d'un conseiller à la protection des données n'est obligatoire que pour les organes fédéraux, alors qu'elle est facultative pour les personnes privées (cf. art. 10, al. 1, nLPD). De même, l'exigence fondamentale d'une base légale pour le traitement de données personnelles ne vaut que pour les organes fédéraux (art. 34 nLPD), alors que pour les personnes privées, un intérêt privé ou public prépondérant suffit en principe (art. 31 nLPD).

Le terme « organe fédéral » est défini par la loi comme suit : « autorité ou service de la Confédération ou personne chargée de tâches publiques de la Confédération » (art. 5, let. i, nLPD). La définition légale de cette notion reste matériellement inchangée par rapport au droit en vigueur avec la nouvelle nLPD. 1 Dans le message du 23 mars 1988 relatif à la loi fédérale sur la protection des données, la deuxième partie de cette définition légale de l'organe fédéral (« ainsi que la personne chargée d’une tâche fédérale ») est décrite comme suit (mise en évidence ajoutée) : « Cette définition vise également toutes les personnes physiques et morales qui exécutent des tâches publiques pour le compte de la Confédération, telles les entreprises d'économie mixte et les corporations de droit public. Conformément au droit public suisse, les cantons et les communes ne sont pas considérés comme des organes fédéraux, et ce, même s'ils exécutent des tâches fédérales. » (FF 1988 II 453).

3 Classification des institutions de prévoyance en matière de

protection des données En ce qui concerne la classification des institutions de prévoyance en tant qu'organe fédéral ou en tant que personne privée, le Tribunal administratif fédéral a considéré, dans un arrêt de 2012, que les institutions de prévoyance qui participent à l'application de l'assurance obligatoire (art. 48, al. 1, LPP) sont considérées comme des organes fédéraux en matière de protection des données, malgré leur absence de pouvoir de décision (ATF 2012/14 consid. 4.2). Le Tribunal administratif fédéral fait donc une distinction entre la prévoyance obligatoire et la prévoyance sur-obligatoire, les données personnelles traitées dans le cadre de la prévoyance professionnelle obligatoire n'étant pas plus dignes de protection que celles traitées en dehors du régime obligatoire. Jusqu'à présent, le Tribunal fédéral ne s'est pas encore prononcé sur la classification des institutions de prévoyance professionnelle en matière de protection des données. En ce qui concerne les offices AI cantonaux, il a toutefois constaté en 2015 que l'application ou l'exécution du droit fédéral ne suffisait pas pour être considéré comme un organe fédéral au sens de la loi sur la protection des données. 2

Message concernant la loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d'autres lois fédérales du 15 septembre 2017 (FF 2017 6565). Cf. arrêt 1C_125/2015 du Tribunal fédéral du 17 juillet 2015 consid. 2.2.

Selon la doctrine actuelle, probablement majoritaire, les institutions de prévoyance peuvent être soumises aux dispositions de la loi sur la protection des données comme suit :

− Lors de la mise en œuvre de la prévoyance professionnelle obligatoire : o en tant qu'organe fédéral, à la LPD révisée (pour une institution de prévoyance de droit privé ou pour une institution de prévoyance de droit public de la Confédération) ; 3 o aux dispositions cantonales de la loi sur la protection des données sans application de la LPD révisée (pour une institution de prévoyance cantonale de droit public) ; 4

− lors de la mise en œuvre de la prévoyance professionnelle en dehors du régime obligatoire : o en tant que personne privée, à la LPD révisée (pour une institution de prévoyance de droit privé) ; o aux prescriptions légales cantonales en matière de protection des données sans application de la LPD (pour une institution de prévoyance cantonale de droit public).

4 Quelles sont les règles applicables aux experts en prévoyance

professionnelle ? Aucun jugement du tribunal n'a encore été rendu au niveau fédéral concernant la classification des experts en matière de prévoyance professionnelle. Selon la jurisprudence du Tribunal fédéral, l'applicabilité du droit fédéral de la protection des données doit être évaluée en fonction de la nature de la relation sous-jacente, en examinant globalement la relation entre le responsable du traitement des données et la personne concernée. 5

Toute personne souhaitant exercer une activité d'expert en prévoyance professionnelle doit être agréée par la CHS PP. Conformément à la loi, l'expert en prévoyance professionnelle vérifie si l'institution de prévoyance peut remplir ses obligations et si le règlement de l'institution de prévoyance est conforme à la loi en ce qui concerne les prestations et le financement. A cet effet, l'expert en prévoyance professionnelle soumet à l'organe suprême de l'institution de prévoyance des recommandations concernant notamment le niveau du taux d'intérêt technique et les autres bases techniques, dont le choix des bases biométriques à utiliser et la politique en matière de provisions des risques actuariels. Il recommande également à l'organe suprême de l'institution de prévoyance les mesures à prendre en cas de découvert (cf. art. 52e LPP). Ces tâches ne concernent pas le traitement de données personnelles. L'objectif des tâches légales de l'expert en prévoyance professionnelle est plutôt de garantir la sécurité financière de l'institution de prévoyance.

Le recours à un expert en prévoyance professionnelle par l'institution de prévoyance est régi par un contrat de droit privé. Contrairement à l'institution de prévoyance, il n'existe aucun rapport juridique entre l'expert en prévoyance professionnelle et les assurés. Pour l'accomplissement de ses tâches légales, l'expert en prévoyance professionnelle n'a pas besoin de données personnelles. Conformément aux principes de protection des données de minimisation et d'économie des données, l'institution de prévoyance doit examiner si elle peut mettre à disposition les données dont l'expert en prévoyance professionnelle a besoin sans indications personnelles ou sous une forme anonymisée ou pseudonymisée. Selon l'extrait du message relatif à la loi fédérale sur la protection des données du 23 mars 1988 (FF 1988 II 453) mentionné au ch. 2 ci-dessus, une personne qui n'est ni une autorité ni un service de la Confédération n'est considéré comme un organe fédéral que si elle traite des données (c'est-à-dire des données personnelles) pour la Confédération. L'accomplissement de tâches fédérales

Selon le Bulletin sur la prévoyance professionnelle n° 161 de l'Office fédéral des assurances sociales du 11 mai 2023, cela doit également s'appliquer aux institutions de prévoyance enveloppantes. Sur son site Internet, l'Association suisse des institutions de prévoyance (ASIP) répond notamment comme suit à la question de savoir si les institutions de prévoyance de droit public sont soumises à la LPD révisée : « En principe, une institution de prévoyance de droit public est soumise à la LPD cantonale en tant qu'organe public du canton. Une institution de prévoyance cantonale de droit public n'est ni un organe fédéral ni une personne privée au sens de la LPD révisée, raison pour laquelle elle n'entre en principe pas dans le champ d'application de la législation fédérale sur la protection des données », voir ASIP - LPD–application: Une institution de prévoyance cantonale de droit public. ATF 122 I 153 consid. 2c. 3/4

et l'exécution du droit fédéral ne suffisent pas à faire de l'organe concerné un organe de la Confédération. 6

Pour ces raisons en particulier, la CHS PP estime qu'il est approprié et défendable de continuer à considérer les experts en prévoyance professionnelle comme des personnes privées au sens de l'art. 2, al. 1, let. a, nLPD, même avec le nouveau droit de la protection des données. En raison des prescriptions standardisées pour l'exécution des tâches légales de l'expert en prévoyance professionnelle 7, pour lesquelles aucune donnée personnelle n'est nécessaire, et parce que l'institution de prévoyance décide de la communication de ses données, la CHS PP part du principe que les experts en prévoyance professionnelle traitent les éventuelles données personnelles en tant que personnes privées, sur mandat de l'institution de prévoyance, conformément à l'art. 9 nLPD. L'expert en prévoyance professionnelle se distingue de l'institution de prévoyance dans la mesure où il n'a pas besoin, pour accomplir sa tâche légale, des données personnelles qui sont indispensables à une institution de prévoyance pour accomplir ses tâches et où - contrairement à l'institution de prévoyance - il n'a pas de rapport juridique avec l'assuré. Si un tribunal devait parvenir à une appréciation différente en matière de protection des données dans un jugement définitif, la CHS PP reverrait son appréciation.

C'est également le cas de l'ATF 122 I 153 consid. 2c et d. Voir les directives de la CHS PP D-03/2014 « Reconnaissance de directives techniques de la CSEP comme standard minimal », disponibles sur le site Internet de la CHS PP : www.oak-bv.admin.ch > Réglementation > Directives.