Addor Jean-Luc · Nationalrat · 2018-06-12

Wortprotokoll

Comme le rapporteur de langue allemande l'a rappelé, il s'agit de questions importantes: il s'agit de nous, il s'agit de nos données qu'il convient de protéger et de mieux protéger en fonction de l'évolution de notre société et de l'évolution de la technique. Sur le fond, cette question, d'une manière générale, n'est pas débattue; c'est la raison pour laquelle nous nous retrouvons, comme cela a été relevé à l'instant, avec un projet très dense, qui suscite néanmoins très peu de contestations. La raison, c'est que l'exercice auquel nous nous livrons maintenant est quand même un peu particulier, et cela à plus d'un titre.

D'abord, parce qu'il s'agit pour nous - et nous commençons à en prendre l'habitude - de mettre en oeuvre des dispositions de droit européen pour lesquelles nous n'avons pas d'autre choix que de les retranscrire en droit suisse. Voilà pourquoi, sans doute, en dépit de la complexité d'une matière qui - je le répète - nous concerne tous et qui concerne toutes les entreprises appelées à traiter nos données, un projet qui tient sur pas moins de 237 pages est présenté avec seulement deux propositions de minorité, et encore, l'une d'elles ne touche pas au fond, mais à la méthode de travail choisie par la commission.

Notre débat d'aujourd'hui est aussi particulier parce que, dans ce processus, nous arrivons - si j'ose dire - comme la grêle après les vendanges. En effet, le Parlement fédéral n'a été saisi que tardivement, trop tardivement, par le Conseil fédéral. Nous en sommes réduits à débattre aujourd'hui de dispositions qui, dans la mesure où elles reprennent celles du règlement général sur la protection des données de l'Union européenne, sont déjà entrées en vigueur, le 25 mai dernier, pour nombre d'entreprises suisses, avant même que le Parlement - et encore, nous n'intervenons dans notre conseil que comme premier conseil - n'ait seulement entamé le débat à leur sujet.

Les entreprises suisses qui ont identifié le problème à temps n'ont donc pas attendu de voir ce qui sortirait de nos travaux; elles ont d'ores et déjà adapté leur pratique aux nouveaux standards européens. Car le champ d'application territorial du règlement européen, de nature - on pourrait dire - impérialiste, s'étend non seulement aux entreprises concernées qui se trouvent sur le territoire de l'Union européenne, mais aussi à celles - les nôtres en particulier - qui ne s'y trouvent pas, mais qui traitent des données à caractère personnel liées à l'offre de biens ou de services à des personnes dans l'Union européenne.

Nous ne sommes guère plus en avance en ce qui concerne la mise en oeuvre de la directive de l'Union européenne relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel dans le domaine du droit pénal, qui constitue un développement de l'acquis de Schengen et que la Suisse a l'obligation de mettre en oeuvre pour le mois d'août prochain. Là encore, on voit bien que, parce que le Parlement en a été saisi tardivement, il ne sera pas en mesure de rendre sa copie, si j'ose dire, à l'Union européenne dans le délai de deux ans dont disposait la Suisse. Le Conseil fédéral, toutefois, ne s'en inquiète guère, se fondant sur des assurances que l'Union européenne a données en décembre 2017 de ne pas entrer en conflit pour cela, non sans reconnaître, ce qui semble raisonnable pour les entreprises concernées, que, pour autant, nous ne devons pas perdre inutilement du temps.

Hormis le caractère un peu frustrant de cet exercice, pour nous parlementaires, cette situation soulève de vraies questions juridiques. Il s'agit en effet de savoir ce qui reste comme place, à côté du règlement européen ou en complément à celui-ci, pour une vraie législation nationale. Se pose aussi un problème de sécurité du droit: dans la mesure où, sur certains points, les résultats de nos travaux diffèrent du droit européen, leur validité pourrait être remise en cause. Ce problème, je le répète, les entreprises suisses qui l'ont vu l'ont[NB]résolu d'une manière toute simple en adoptant purement[NB]et[NB]simplement les nouveaux standards européens, sans égard - c'est quand même particulier, mais sans doute nécessaire - au processus législatif en cours au Parlement fédéral.

Quoi qu'il en soit, c'est le 26 octobre 2017 que la Commission des institutions politiques a traité pour la première fois d'un projet de révision dans lequel on pouvait identifier deux volets: des éléments strictement imposés par le droit européen et d'autres éléments d'une révision totale de la loi sur la protection des données.

Le 11 janvier 2018, par 14 voix contre 8 et 2 abstentions, la commission a décidé de scinder ce projet en deux: d'une part, la mise en oeuvre du droit européen et, d'autre part, la révision totale de la loi sur la protection des données, rebaptisant au passage le titre du projet de loi, qui devient une loi de mise en oeuvre. De cette manière, la majorité de la commission a voulu permettre au Parlement de mettre au plus vite sous toit ce qui aurait déjà dû l'être et ce qui d'ailleurs ne pourra pas l'être d'ici au mois d'août. C'est de cela seulement qu'elle vous propose de débattre aujourd'hui.

De l'avis de la majorité de la commission, cette scission lui permettra et permettra ensuite à notre conseil de s'atteler - ce qu'elle a d'ailleurs déjà commencé à faire - sans contrainte de temps au traitement du second volet, à savoir [PAGE 961] la révision de la loi fédérale sur la protection des données, qui est non seulement complexe - le premier l'est déjà, évidemment -, mais qui fait aussi l'objet de contestations de nature à retarder le traitement de l'ensemble du projet.

Pour la minorité de la commission, qui, aujourd'hui, vous propose de renvoyer le projet à la commission avec mandat d'examiner l'intégralité du projet du Conseil fédéral, le risque existe que deux révisions de la loi sur la protection des données, qui se suivent à peu d'intervalle entraînent un surcroît de travail et, surtout, une insécurité juridique pour les acteurs concernés.

Mais, au point où nous en sommes, si notre conseil suit aujourd'hui la majorité de sa commission et qu'ensuite le Conseil des Etats en fait autant, nous pouvons espérer que les projets 1 et 2 tels qu'ils vous sont soumis aujourd'hui soient adoptés au vote final au terme de la session d'automne 2018. Selon les projections du secrétariat de la commission, un refus de la scission, aujourd'hui par notre conseil ou cet automne par le Conseil des Etats, reporterait le traitement de l'ensemble du dossier - y compris, donc, ce qui aurait déjà dû entrer en vigueur et ce qui devrait entrer en vigueur en août prochain - à la session d'hiver 2019. Une telle variante ne paraît pas raisonnable à la majorité de la commission, mais lui paraît au contraire de nature à créer une insécurité juridique que vous avez, aujourd'hui, la possibilité sinon d'éviter, du moins de limiter pour tout ce qui est imposé par le droit européen. Quand je dis cela, je n'oublie pas que, de toute manière, quoi que nous fassions ici, le nouveau règlement européen, lui, s'applique déjà depuis le 25 mai dernier.

Après avoir décidé de scinder le projet initial du Conseil fédéral, la commission a procédé en avril dernier à la discussion par article du projet qui vous est soumis aujourd'hui et a rejeté une nouvelle fois, par 17 voix contre 6 et 1 abstention, la proposition qui fait l'objet de la minorité Wermuth et qui a pour objectif que les trois volets du projet fassent l'objet d'une seule et unique révision ayant lieu dans un seul temps.

Au vote sur l'ensemble, la commission a adopté le projet 1 par 18 voix contre 0 et 4 abstentions. Le projet 2, lui, a été approuvé par 15 voix contre 0 et 8 abstentions.