AS 2009 1793

Echange de lettres des 1^er et 9 décembre 2008 entre la Suisse et les Etats-Unis d'Amérique concernant l'établissement d'un cadre de protection des données pour la transmission de données personnelles aux Etats-Unis d'Amérique

Echange de lettres des 1er et 9 décembre 2008 entre la Suisse et les Etats-Unis d’Amérique concernant l’établissement d’un cadre de protection des données pour la transmission de données personnelles aux Etats-Unis d’Amérique

Entré en vigueur par échange de notes le 16 février 2009

Traduction1

Préposé fédéral à la protection Berne, le 9 décembre 2008 des données et à la transparence PFPDT Le Préposé

Madame Michelle O’Neill Deputy Under Secretary for International Trade United States Department of Commerce Washington, D.C. 20230

Madame, Nous accusons réception de votre lettre du 1er décembre 2008 avec le contenu sui- vant:

«J’ai l’honneur de vous transmettre les principes de la «sphère de sécurité» pour la protection des données personnelles entre les Etats-Unis et la Suisse et les questions souvent posées y afférentes (FAQ) concernant leur mise en oeuvre, ainsi que l’étude relative à la mise en œuvre des principes de la «sphère de sécurité» et un mémoran- dum concernant la confidentialité et les dommages-intérêts, les autorisations légales et les fusions et les acquisitions suivant la législation des Etats-Unis. Tous ces documents ont été émis par le Département du Commerce des Etats-Unis le 1er décembre 20082. Je vous transmets également des lettres des instances gouver- nementales compétentes aux Etats-Unis chargées d’examiner les plaintes liées à des manquements dans l’application des principes de la «sphère de sécurité». Les principes de la «sphère de sécurité» pour la protection des données personnelles entre les Etats-Unis et la Suisse reflètent notre objectif commun d’augmenter la protection de la vie privée pour nos citoyens et de renforcer la sécurité juridique pour les entreprises des deux pays. Ils tiennent compte du fait que le transfert de

RS 0.235.233.6

1 Traduction du texte original anglais.

2 Ces documents peuvent être obtenus en langue anglaise auprès du Préposé fédéral à la protection des données et à la transparence.

2008-2898 1793

Etablissement d’un cadre de protection des données pour la transmission RO 2009 de données personnelles aux Etats-Unis d’Amérique

données personnelles de la Suisse vers un pays tiers ne peut être effectué que si le pays tiers en question assure un niveau de protection adéquat. Le Département émet les documents ci-joints en coopération avec la Suisse sous son autorité afin de promouvoir et de développer le commerce international. Sur la base de cette lettre et de ces documents, la Suisse a l’intention de reconnaître l’adéquation de la protection octroyée par les principes de la «sphère de sécurité» pour la protec- tion des données personnelles entre les Etats-Unis et la Suisse mis en œuvre selon les FAQ et satisfaisant aux exigences de l’art. 6 de la loi fédérale sur la protection des données. D’autres dispositions de cette loi concernant le traitement de données en Suisse ne seront pas affectées. Les principes de la «sphère de sécurité» pour la protection des données privées entre les Etats-Unis et la Suisse et les FAQ («les principes») doivent servir de guide rigoureux aux entreprises américaines et aux autres organisations américaines rece- vant des informations personnelles de Suisse et désirant établir une base prévisible pour la poursuite de tels transferts. L’étude relative à la mise en œuvre des principes et les autres documents de soutien sont destinés à expliquer comment les mécanis- mes de mise en œuvre américains, basés soit sur la loi et la réglementation soit sur la réglementation individuelle, satisfont les exigences du principe de mise en œuvre et assurent que l’engagement d’une organisation d’adhérer aux principes sera effecti- vement mis en œuvre. Les documents de la «sphère de sécurité» doivent être lus dans le contexte du système juridique américain et de ses caractéristiques bien connues, telles que les actions en justice de portée générale et les honoraires sur une base aléatoire. Les entreprises américaines et les autres organisations américaines peuvent être assurées des bénéfices de la «sphère de sécurité» en certifiant elles-mêmes leur adhésion aux principes. Le Département du Commerce a l’intention d’établir une liste de toutes les organisations qui certifient elles-mêmes leur adhésion aux princi- pes. La liste et les notifications soumises par des organisations contenant des infor- mations au sujet de la mise en œuvre des principes sont rendus publiques ainsi que toute détermination finale effectuée par une instance de mise en œuvre américaine et

notifiée au Département du Commerce (ou à une instance désignée) selon laquelle une organisation de la «sphère de sécurité» a manqué avec persistance de se confor- mer aux principes. Lorsque, en se conformant aux exigences des principes, une organisation se base complètement ou partiellement sur une réglementation propre, son manquement de se conformer à sa propre réglementation doit aussi pouvoir être adressé au titre de la section 5 du Federal Trade Commission Act qui interdit les manœuvres et les pratiques déloyales ou frauduleuses ou une autre loi ou règlement interdisant de tels actes tels que compris dans les principes. Les principes s’appliquent seulement aux entreprises et aux autres organisations relevant de la compétence de la Commission Fédérale du Commerce (FTC) ou du Ministère des Transports (DOT) et qui agissent en conformité avec les principes mis en œuvre selon les FAQ. Il en résulte que les principes ne s’appliquent pas aux établissements financiers, y compris les banques, les entreprises financières d’épargne et de prêt et les coopératives de crédit; les sociétés de télécommunications et les entreprises publiques de transport inter-Etats; les conditionneurs et les exploi-

Etablissement d’un cadre de protection des données pour la transmission RO 2009 de données personnelles aux Etats-Unis d’Amérique

tants de parcs à bestiaux; et, également toute entité ou activité comprise dans les exceptions à l’autorité de la FTC concernant les manœuvres et les pratiques déloya- les ou frauduleuses et qui ne sont pas soumises à l’autorité du DOT (Annexe III). Le cadre établi par les principes de la «sphère de sécurité» pour la protection des données personnelles entre les Etats-Unis et la Suisse mis en œuvre selon les FAQ pourrait faire l’objet d’une révision sur la base de l’expérience et de développements pertinents. Le Département du Commerce et le Préposé fédéral à la protection des données et à la transparence se consulteront au sujet de toute modification proposée aux principes et aux autres documents du cadre. Le cadre établi par les principes de la «sphère de sécurité» pour la protection des données personnelles entre les Etats-Unis et la Suisse deviendra effectif suite à la notification de l’accomplissement de toutes les procédures législatives internes et demeurera en vigueur sous réserve d’une notification écrite de la Suisse ou des Etats-Unis à l’autre partie de son intention de dénoncer le cadre. Une telle notifica- tion devrait être présentée six mois avant la date de dénonciation prévue. Annexe I Principes de la «sphère de sécurité» pour la protection des données privées entre les Etats-Unis et la Suisse Annexe II Questions souvent posées Annexe III Etude relative à la mise en œuvre des principes de la «sphère de sécurité» Annexe IV Confidentialité et dommage-intérêts, autorisations légales et fusions et acquisitions suivant la législation des Etats-Unis Annexe V Instances du gouvernement des Etats-Unis habilitées à investiguer des plaintes.»

Nous partageons le contenu de votre lettre et nous reconnaissons que dans le contex- te de sa couverture, le cadre établi par les principes de la «sphère de sécurité» pour la protection des données privées entre les Etats-Unis et la Suisse offre un cadre juridique qui garantit une protection des données adéquate. Il en résulte que les entreprises américaines certifiant leur adhésion aux principes de la «sphère de sécu- rité» pour la protection des données privées entre les Etats-Unis et la Suisse sont considérées comme disposant d’un niveau de protection adéquat selon l’art. 6 (1) de la loi fédérale sur la protection des données3. De plus, nous vous informons que le Préposé fédéral à la protection des données et à la transparence peut recommander de suspendre les flux de données vers une entre- prise ou autre organisation ayant certifié elle-même son adhésion aux principes mis en œuvre conformément aux FAQ (les principes) afin de protéger les individus en ce qui concerne le traitement de leurs données personnelles lorsque: l’instance compé- tente aux Etats-Unis ou un mécanisme indépendant de recours a constaté que l’organisation viole les principes; ou qu’il est fort probable que les principes sont violés; qu’il y a tout lieu de croire que l’instance d’application concernée ne prend

3 RS 235.1

Etablissement d’un cadre de protection des données pour la transmission RO 2009 de données personnelles aux Etats-Unis d’Amérique

pas ou ne prendra pas en temps voulu les mesures qui s’imposent en vue de régler l’affaire en question; que la poursuite du transfert ferait courir aux personnes concernées un risque imminent de subir des dommages graves; que les autorités suisses compétentes se sont raisonnablement efforcées, compte tenu des circonstan- ces, d’avertir l’organisation et de lui donner la possibilité de répondre. La recom- mandation de suspendre cesse dès que le respect des principes mis en œuvre conformément aux FAQ est assuré et que les autorités suisses compétentes en sont avisées. Si les informations recueillies montrent qu’un quelconque organisme chargé de faire respecter les principes aux Etats-Unis ne remplit pas efficacement sa mis- sion, le gouvernement suisse informe le Département du Commerce américain et, si nécessaire, propose un projet des mesures à prendre en vue d’abroger ou de suspen- dre les principes ou de limiter leur portée.

Nous vous remercions de votre coopération en la matière et vous prions d’agréer, Madame, l’expression de nos sentiments distingués.

Hans-Peter Thür