Révision de la LOGA (protection des données concernant des personnes morales par les organes fédéraux)

Département fédéral de justice et police DFJP

Berne, le 21 mai 2025

Modification de la loi sur l’organisation du gouvernement et de l’administration (protec­ tion des données concernant des personnes morales par les organes fédéraux)

Rapport explicatif relatif à l’ouverture de la procédure de con­ sultation

BJ-D-72B33401/73

Condensé

La révision de la loi sur l’organisation du gouvernement et de l’administration (LOGA) vise à garantir qu’à partir du 1er septembre 2028, les bases légales nécessaires seront en vigueur pour que les organes fédéraux puissent procéder au traitement de données concernant des personnes morales.

Contexte

Depuis la révision totale de la loi fédérale sur la protection des données du 25 sep­ tembre 2020 (LPD), le traitement des données concernant des personnes morales ne fait plus partie du champ d’application de cette loi. La définition de la notion de données personnelles (art. 5, let. a, LPD) se limite aux données concernant une personne phy­ sique. Par conséquent, les bases légales fédérales qui règlent le traitement de données personnelles par les organes fédéraux dans des domaines particuliers ne s’appliquent plus aux données concernant des personnes morales. La Constitution (Cst.) exige no­ tamment l’existence d’une base légale en droit sectoriel pour la communication des données concernant des personnes morales. Afin que l’entrée en vigueur de la LPD n’entraîne pas de lacunes juridiques, une disposition transitoire destinée aux organes fédéraux a été ajoutée à l’art. 71 LPD. Elle prévoit que les dispositions d’autres actes relatives au traitement de données personnelles continuent de s’appliquer aux traite­ ments de données concernant des personnes morales pendant les cinq ans suivant l’entrée en vigueur de la LPD, soit jusqu’au 31 août 2028.

Contenu du projet

Le projet mis en consultation propose de transférer la disposition transitoire, fixée à l’art. 71 LPD, dans la LOGA. Pour ce faire, l’AP-LOGA prévoit que pour les organes fédéraux, les dispositions spéciales consacrées à la protection des données person­ nelles s’appliquent au traitement des données concernant des personnes morales si l’acte législatif spécial ne contient pas de disposition particulière sur la protection des données concernant des personnes morales. Cela signifie que lorsque des dispositions spéciales mentionnent le traitement et la communication de données personnelles par des organes fédéraux, elles continueront de s’appliquer aux données concernant des personnes morales. Il s’agit là d’une solution durable qui pourra être appliquée de façon équivalente à tous les domaines dans lesquels les organes fédéraux traitent et com­ muniquent des données concernant des personnes morales. Afin de garantir la clarté et la sécurité juridiques, les droits dont disposent les personnes morales vis-à-vis des organes fédéraux traitant leurs données, qui leur sont conférés par l’art. 13, al. 2 Cst. (à savoir le droit d’accès, le droit à la rectification et le droit à l’effacement des données), seront expressément réglés dans l’AP-LOGA. Par ailleurs, les exigences auxquelles est soumise l’élaboration de bases légales pour le traitement et la communication de données concernant des personnes morales seront harmonisées avec les prescrip­ tions correspondantes de la LPD. Enfin, un nouvel article consacré à la sous-traitance des données concernant des personnes morales sera introduite.

3.2 Commentaire relatif à la modification d’autres lois fédérales (annexe) ...33

3.2.14 Loi fédérale du 25 septembre 2020 sur la protection des données

(LPD) 38

3.2 Commentaire relatif à la modification d’autres lois fédérales (annexe) ...33

3.2.14 Loi fédérale du 25 septembre 2020 sur la protection des données

(LPD) 38

Rapport explicatif

1 Contexte

1.1 Historique

1.1.1 Les données concernant des personnes morales ne sont plus couvertes

par la LPD

Depuis la révision totale de la loi fédérale sur la protection des données du 25 sep­ tembre 2020 (LPD)¹, le traitement des données concernant des personnes morales ne fait plus partie de son champ d’application. Conformément à l’art. 2, al. 1, LPD, elle ne régit plus que le traitement des données personnelles concernant des personnes phy­ siques, autrement dit des humains (au sujet de la notion de personnes morales, voir ch. 1.1.5.1).

La situation à l’étranger a notamment été un critère déterminant pour ce changement. Les dispositions en matière de protection des données édictées par l’Union euro­ péenne et le Conseil de l’Europe et par la majorité des États protègent uniquement les données concernant des personnes physiques. L’harmonisation du droit suisse avec ces prescriptions a permis de faciliter le transfert de données à l’international. En effet, la communication à l’étranger de données concernant des personnes morales sises en Suisse n’est plus liée au fait que l’État destinataire offre un niveau de protection des données adéquat. Par ailleurs, il s’est avéré qu’en pratique, la protection des données concernant des personnes morales revêtait un rôle secondaire dans de nombreux do­ maines — en particulier dans le domaine du droit privé — et que diverses autres lois garantissent la protection de la personnalité des personnes morales et la confidentialité des données qui les concernent (notamment les art. 28 ss du code civil², la loi fédérale du 19 décembre 1986 contre la concurrence déloyale³, la loi fédérale du 9 octobre 1992 sur le droit d’auteur et les droits voisins⁴ et les dispositions relatives aux secrets pro­ fessionnels, d’affaires et de fabrication)5.

Message du Conseil fédéral du 15 septembre 2017 concernant la loi fédérale sur la révision totale de la loi fé­ dérale sur la protection des données et sur la modification d’autres lois fédérales (« Message LPD 2017 »), FF 2017 6565, p. 6632. Voir également CHRISTIAN DRECHSLER, in : Gabor P. Blechta / David Vasella (éd.), Basler Kommentar zum Datenschutzgesetz, 4e éd., 2024 (« BSK DSG »), art. 2 N 5 ; DRECHSLER, Plädoyer für die Abschaffung des Datenschutzes für juristischer Personen, in PJA 1/2016, p. 80 ss.; JULIAN POWELL / MATTHIAS R. SCHÖNBÄCHLER, in: Adrian Bieri / Julian Powell (éds), Orell Füssli Kommentar zum Datenschutzgesetz, 2023, («OFK DSG»), art. 2 N 4; SYLVAIN MÉTILLE / LIVIO DI TRIA, in Philippe Meier / Sylvain Métille (éds), Com­ mentaire romand. Loi sur la protection des données, 2023 (« CR LPD »), art. 2 N 27 ; SANDRA HUSI-STÄMPFLI,

1.1.2 Conséquences sur les dispositions de protection des données appli­

cables à des domaines spécifiques

La LPD ne s’appliquant plus aux données concernant des personnes morales, la défi­ nition du terme de données personnelles a changé : l’art. 5, let. a, LPD les définit dé­ sormais comme « les informations concernant une personne physique identifiée ou identifiable ». Conséquence de ce changement, les bases légales fédérales qui ré­ glaient le traitement des données personnelles par des organes fédéraux ne sont dé­ sormais plus valables lorsqu’il s’agit de traiter ou de communiquer des données con­ cernant des personnes morales. Conformément au principe de la légalité, ancré à l’art. 5, al. 1, de la Constitution (Cst.)6, l’activité de l’État nécessite en principe une base légale. Il en va de même pour les restrictions des droits fondamentaux, comme le pres­ crit l’art. 36, al. 1, Cst. Il est nécessaire que les autorités disposent d’une base légale pour le traitement et la communication de données concernant des personnes morales parce que celles-ci peuvent invoquer leur droit à l’autodétermination informationnelle consacré à l’art. 13, al. 2, Cst. (voir ch. 1.1.3). C’est la modification de la notion de données personnelles qui a fait émerger le besoin de légiférer en la matière.

1.1.3 Portée du droit fondamental à la protection des données concernant

des personnes morales

Selon la jurisprudence du Tribunal fédéral et la doctrine dominante, l’art. 13, al. 2, Cst. protège le droit fondamental à l’autodétermination informationnelle (en tant que sous- catégorie de la protection de la sphère privée). En d’autres termes, chaque personne doit, en principe, pouvoir déterminer si et dans quel objectif des informations la concer­ nant sont traitées par des tiers, des organes fédéraux ou des personnes privées, indé­ pendamment du caractère sensible des informations concernées7. L’art. 13, al. 2, Cst. ne protège pas seulement de l’utilisation abusive desdites données, mais il couvre en principe (en l’interprétant au-delà de sa formulation) tous les types de traitement de données à caractère personnel effectués par l’État (en particulier la collecte, l’utilisa­ tion, la conservation ou la communication)8.

Comme évoqué précédemment (voir. ch. 1.1.2) les personnes morales peuvent invo­ quer le droit à l’autodétermination informationnelle9. Par conséquent, tout traitement ou

in : Thomas Steiner / Anne-Sophie Morand / Daniel Hürlimann (éds), Onlinekommentar zum Datenschutzge­ setz («OK DSG»), art. 2 N 12 (version du 15.08.2023); critique à ce sujet JULIEN FRANCEY, in : Yaniv Benhamou / Bertil Cottier (éds), Petit commentaire loi sur la protection des données (« PC LPD »), 2023, art. 2 N 14 ss. 6 RS 101 Par exemple : ATF 146 I 11 consid. 3.1.1 et ATF 144 I 126 consid. 4.1, avec les références citées. 8 Voir notamment RAINER J. SCHWEIZER / LEA STRIEGEL, in: Bernhard Ehrenzeller / Patricia Egli / Peter Hettich et al. (éds.), St. Galler Kommentar zur Bundesverfassung (« SGK BV »), 4e éd., 2023, art. 13 N 79 et 85 ; GIOVANNI BIAGGINI, Orell Füssli Kommentar zur Bundesverfassung, 2e éd., 2017 («OFK BV»), art. 13 N 11; OLI­ VER DIGGELMANN, in: Bernhard Waldmann / Eva Maria Belser / Astrid Epiney (éds.), Basler Kommentar zur Bun­ desverfassung, 2015 («BSK BV»), art. 13 N 33; JULIEN FRANCEY, PC LPD, art. 2 N 18 s., tous avec les réfé­ rences citées. 9 Voir RAINER J. SCHWEIZER / LEA STRIEGEL, SGK BV, art. 13 N 83 s.; GIOVANNI BIAGGINI, OFK BV, art. 13 N 3 et 12 ; OLIVER DIGGELMANN, BSK BV, art. 13 N 8, 33 ; JULIEN FRANCEY, PC LPD, art. 2 N 18 s. avec renvoi à

communication de données concernant des personnes morales doit reposer sur une base légale qui tient compte de l’ampleur de la restriction de leurs droits fondamentaux (art. 36, al. 1, Cst.)10.

Divers droits auxquels on octroie un caractère fondamental découlent par ailleurs de la protection des données consacrée par l’art. 13, al. 2, Cst. Il s’agit notamment du droit d’une personne de demander si des données la concernant sont traitées et de son droit à la rectification ou à l’effacement de ses données. Comme les personnes physiques, les personnes morales jouissent de ces droits. Le droit d’accès en particulier fait partie intégrante du droit à l’autodétermination informationnelle, qui permet la concrétisation d’autres droits en matière de protection des données11.

Comme expliqué, les personnes morales continuent d’avoir droit à la protection des données qui les concernent, malgré la modification du champ d’application de la LPD. Les droits fondamentaux découlant de l’art. 13, al. 2, Cst. restent inchangés.

1.1.4 Solution transitoire dans la LPD

Dans le cadre de la révision totale de la LPD, le besoin de légiférer décrit précédemment avait été reconnu, mais il n’avait pu être pris en compte que partiellement pour des motifs d’ordre temporel et pratique. Une série de dispositions relatives au traitement des données de personnes morales par des organes fédéraux ont été introduites aux art. 57r ss de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’admi­ nistration (LOGA)12 (voir ch.¹.1.5). En outre, le Conseil fédéral avait écrit dans son mes­ sage que toutes les dispositions relatives à la protection des données figurant dans les lois spéciales seraient examinées et adaptées à l’issue des débats parlementaires, si possible de façon uniforme, aux prescriptions fixées aux art. 57r ss LOGA13.

Pour éviter des lacunes juridiques dans l’intervalle, une disposition transitoire visant les organes fédéraux a été fixée à l’art. 71 LPD. Elle prévoit que les dispositions d’autres actes relatives à la protection des données (que ce soit dans des lois au sens matériel ou au sens formel) continuent de s’appliquer au traitement des données concernant des personnes morales pendant les cinq ans suivant l’entrée en vigueur de la LPD, soit jusqu’au 31 août 2028. Le but est notamment de permettre aux organes fédéraux de

l’ATF 141 I 201 consid. 4.1. A ce sujet, voir également le message LPD 2017, FF 2017 6565, p. 6595 avec ren­ voi à l’ATF 137 II 371 consid. 6. 10 GIOVANNI BIAGGINI, OFK BV, art 13 N 15. Également : JULIEN FRANCEY, PC LPD, art. 2 N 18 ss

RAINER J. SCHWEIZER / LEA STRIEGEL, SGK BV, art. 13 N 100 s. et les références citées ; GIOVANNI BIAGGINI, OFK BV, art. 13 N 13. A ce sujet, voir également SYLVAIN MÉTILLE / LIVIO DI TRIA, CR LPD, art. 2 N 31. 12 RS 172.010

Voir message LPD 2017, FF 2017 6565, p. 6722.

continuer à s’appuyer sur les bases légales en vigueur pour la communication de don­ nées personnelles lorsqu’ils doivent communiquer des données concernant des per­ sonnes morales.

1.1.5 Réglementation en vigueur concernant le traitement de données de per­

sonnes morales par des organes fédéraux dans la LOGA

1.1.5.1 Notions et définitions

Comme expliqué ci-dessus (voir ch. 1.1.1 et 1.1.3), les organes fédéraux ont besoin de bases légales suffisantes pour pouvoir traiter ou communiquer des données person­ nelles et des données concernant des personnes morales. Puisque les prescriptions de la LPD (en particulier les dispositions concernant le traitement de données person­ nelles par les organes fédéraux, art. 33 ss LPD) ne s’appliquent plus aux données con­ cernant des personnes morales, un cadre juridique général est fixé aux art. 57r à 57t LOGA. Comme les articles de la LPD, ces dispositions de la LOGA constituent une réglementation transversale (sous réserve de divergences dans les lois spéciales) qui doit être respectée dans tous les domaines et dans toutes les circonstances dans les­ quelles les organes fédéraux traitent des données concernant des personnes morales.

La définition légale des « organes fédéraux » mentionnés aux art. 57r ss LOGA est celle qui figure à l’art. 5, let. i, LPD (voir également l’art. 57j LOGA) : les organes fédé­ raux sont toutes les autorités fédérales ou services fédéraux (y compris les unités ad­ ministratives décentralisées) et les personnes chargées d’une tâche publique de la Confédération14. Le terme de « sous-traitant » est également issu de la LPD (voir art. 5, let. k, LPD). Les notions de « données (concernant des personnes morales) » et de « personnes morales » sont quant à elles sujettes à interprétation :

• Données (concernant des personnes morales) : par analogie à la notion de données personnelles (art. 5, let. a, LPD), les données concernant des personnes morales sont toutes les informations concernant une personne morale identifiée ou identi­ fiable. Il peut notamment s’agir de la raison sociale, des coordonnées, des informa­ tions de paiement, des informations relatives à l’organisation, à la forme juridique, aux activités commerciales, et aux subventions, des informations relatives aux me­ sures d’instruction ou aux sanctions ainsi que des rapports annuels. S’il n’est pas au minimum possible d’identifier la personne morale (p. ex. parce que les données sont anonymisées), les prescriptions des art. 57r ss LOGA ne sont pas applicables.

• Personnes morales : il s’agit avant tout des sociétés organisées corporativement, de même que des établissements ayant un but spécial et une existence propre qui ont acquis une personnalité. En font partie, les associations (art. 60 ss du code civil15 [CC]), les fondations (art. 80 ss CC), les sociétés anonymes (art. 620 ss du code des

Voir message LPD 2017, FF 2017 6941, p. 6733. 15 RS 210

obligations16 [CO]), les sociétés en commandite par actions (art. 764 ss CO), les sociétés à responsabilité limitée (art. 772 ss CO), les sociétés coopératives (art. 828 ss CO) ainsi que les collectivités de droit privé des cantons et les établissements et collectivités de droit public des cantons et de la Confédération. Dans la doctrine re­ lative à l’ancien droit de la protection des données, la notion de personnes morales était interprétée de façon large. Outre les cas directement couverts par le texte de loi, les sociétés de personnes qui n’ont pas de personnalité juridique propre, mais qui ont la capacité d’être partie et d’ester en justice (comme les sociétés en nom collectif [art. 552 ss CO], les sociétés en commandite [art. 594 ss CO] et les com­ munautés de propriétaires d’étages [art. 712l CC]) étaient également des personnes morales selon les auteurs de doctrine. Cette interprétation large de la notion de per­ sonne morale est à la base des art. 57r ss LOGA. En revanche, les entités qui ne présentent aucun des éléments de la personnalité juridique au sens du droit suisse, telles que les sociétés simples ou les hoiries, n’entrent pas dans la définition de personnes morales17.

1.1.5.2 Base juridique pour le traitement de données concernant des personnes

morales (art. 57r LOGA)

L’art. 57r, al. 1, LOGA en vigueur constitue une base légale générale et directement applicable pour le traitement18 des données concernant des personnes morales par les organes fédéraux. Il prévoit que les organes fédéraux peuvent traiter des données con­ cernant des personnes morales, y compris des données sensibles19 : (a) dans la me­ sure où l’accomplissement de leurs tâches l’exige et (b) où elles sont définies dans une

16 RS 220 Sur l’ensemble : DAVID ROSENTHAL / YVONNE JÖHRI, in: Handkommentar zum Datenschutzgesetz, 2008 («HK DSG»), art. 2 N 6 ss; BEAT RUDIN, in: Bruno Baeriswyl / Kurt Pärli / Dominika Blonski (éds.), Stämpfli Handkom­ mentar zum Datenschutzgesetz, 2e éd., 2023 («SHK DSG»), art. 2 N 12; CHRISTIAN DRECHSLER, BSK DSG, art. 2 N 5; JULIEN FRANCEY, PC LPD, art. 2 N 12 s. Le terme de « personnes morales » était déjà compris au sens large comme mentionné ici dans le message du Conseil fédéral du 23 mars 1988 concernant la loi fédérale sur la protection des données (FF 1988 II 421, p. 446). Par analogie à l’art. 5, let. d, LPD le traitement signifie toute opération relative à des données concernant des personnes morales, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données. Pour la communication de données concernant des personnes morales, l’art. 57s LOGA s’applique (voir ch. 1.1.5.3). 19 Conformément à l’art. 57r, al. 2, LOGA, les données sensibles concernant des personnes morales sont les don­

nées relatives à des poursuites ou des sanctions administratives ou pénales (let. a) et à des secrets profession­ nels, d’affaires ou de fabrication (let. b). 12/50

loi au sens formel. Il ne suffit pas d’une disposition dans une ordonnance ou qu’une tâche soit décrite implicitement. La tâche doit être identifiable et suffisamment claire20.

Si les prescriptions de l’art. 57r, al. 1, LOGA sont remplies, une base légale spéciale n’est pas nécessaire, qu’il s’agisse d’une loi ou d’une ordonnance. Ce principe vaut tant pour le traitement des données « standard » concernant des personnes morales que pour celui des données sensibles. L’art. 57r LOGA couvre en principe tous les types de traitement. La situation est différente si le but ou le mode de traitement des données atteint si gravement les droits fondamentaux de la personne morale concer­ née que l’art. 57r LOGA ne satisfait plus aux exigences du principe de légalité selon les art. 5, al. 1, et 36, al. 1, Cst. en matière de densité normative. Dans ce cas, une réglementation explicite dans la loi spéciale concernée est nécessaire. Ce type de cas peut par exemple se présenter lorsque la forme de collecte des données (en particulier la collecte secrète) ou l’utilisation de nouvelles technologies atteignent les droits fon­ damentaux à un degré tel qu’une base légale plus précise est nécessaire.

1.1.5.3 Exigences requises pour les bases légales régissant la communication

de données concernant des personnes morales (art. 57s LOGA)

L’art. 57s, al. 1, LOGA dispose que les organes fédéraux sont en droit de communi­ quer21 des données concernant des personnes morales si une base légale le prévoit. Contrairement à l’art. 57r LOGA, l’art. 57s LOGA ne constitue pas une base légale pour la communication spécifique de données concernant des personnes morales par des organes fédéraux, mais c’est le principe de l’habilitation spéciale qui s’applique dans ce cas. De manière analogue à l’art. 36 LPD (communication de données person­ nelles), l’art. 57s LOGA règle la question de savoir sur la base de quelles dispositions légales un organe fédéral peut traiter les données concernant des personnes morales et fixe les conditions dans lesquelles ce traitement peut exceptionnellement se faire en l’absence de base légale22.

En principe, les organes fédéraux ne peuvent communiquer des données concernant des personnes morales que lorsqu’une base légale le prévoit (art. 57s, al. 1, LOGA). Il peut s’agir d’un traité international, d’une loi au sens formel ou d’une ordonnance. Alors qu’une disposition dans une ordonnance suffit en règle générale pour la communication de données « standard » concernant des personnes morales, une base légale au sens formel est nécessaire pour la communication de données sensibles (art. 57s, al. 2, LOGA).

Sur l’ensemble, voir également le message LPD 2017, FF 2017 6565, p. 6733. De manière analogue à l’art. 5, let. e, LPD, « communication » correspond au fait de transmettre des données personnelles concernant des personnes morales ou de les rendre accessibles.

22 Sur l’ensemble, voir également le message LPD 2017, FF 2017 6941, p. 6744.

L’art. 57s, al. 3, LOGA énumère de façon exhaustive dans quels cas la communication de données « standard » concernant des personnes morales ou celle de données sen­ sibles peut exceptionnellement être autorisée sans base légale. Il s’agit des mêmes exceptions que celles prévues à l’art 36, al. 2, let. a, b et e LPD.

Enfin, de manière analogue à l’art. 36, al. 3 et 5 LPD, l’art 57s, al. 4 et 5 LOGA contient une réglementation spéciale pour la communication de données concernant des per­ sonnes morales dans le cadre de l’information officielle du public.

1.1.5.4 Droits des personnes morales (art. 57t LOGA)

L’art. 57t LOGA renvoie aux règles de procédure applicables pour les droits dont dis­ posent les personnes morales vis-à-vis des organes fédéraux qui traitent ou communi­ quent des données qui les concernent. Les personnes morales peuvent, dans le cadre d’une procédure administrative de première instance, consulter les pièces conformé­ ment aux art. 26 ss de la loi fédérale du 20 décembre 1968 sur la procédure adminis­ trative (PA)23, exercer leur droit d’être entendu au sens des art. 29 ss PA et recourir, le cas échéant, contre la décision rendue par l’organe fédéral compétent. Elles peuvent également invoquer l’art. 25a PA d’après lequel toute personne qui a un intérêt digne de protection peut exiger que l’organe fédéral rende une décision susceptible de re­ cours. De la sorte, elles peuvent faire rectifier ou effacer les données les concernant de manière indirecte, en passant par le droit procédural24.

1.2 Nécessité d’agir et objectifs visés

Le projet législatif doit en premier lieu éviter les lacunes juridiques une fois que le délai fixé à l’art. 71 LPD sera dépassé (voir ch. 1.1.4). Puisque les données concernant les personnes morales ne font plus partie du champ d’application de la LPD, et qu’elles ne sont plus considérées comme des données personnelles, les organes fédéraux ne pourront plus se fonder sur les bases légales présentes dans les lois spéciales pour traiter et communiquer les données concernant des personnes morales après l’expira­ tion du délai transitoire.

Deuxièmement, le projet règlera concrètement, au niveau de la loi, les droits fonda­ mentaux dont disposent les personnes morales vis-à-vis des organes fédéraux traitant leurs données, qui leur sont conférés par l’art. 13, al. 2, Cst (à savoir droit d’accès, droit à la rectification et droit à l’effacement des données). Cette concrétisation apportera de la clarté au niveau juridique et renforcera la position des personnes morales. L’actuel renvoi de l’art. 57t LOGA aux règles de procédure applicables est problématique d’un point de vue constitutionnel. Il ne permet notamment que de faire valoir les droits en matière de protection des données dans le cadre de procédures en cours. Par ailleurs, la LOGA ne décrit pas de manière suffisamment précise les droits fondamentaux des personnes morales. Qui plus est, l’art. 57t LOGA s’est révélé difficile à mettre en œuvre.

23 RS 172.021 Sur l’ensemble, voir le message LPD 2017, FF 2017 6565, p. 6734.

Une composante centrale du droit à l’autodétermination informationnelle est le droit d’accès. Les personnes morales doivent pouvoir vérifier si les organes fédéraux traitent leurs données de façon conforme au droit, même en dehors des procédures adminis­ tratives. À titre d’exemple, on peut citer la collecte de données par le Service de ren­ seignement de la Confédération. Le droit d’accès constitue souvent la base permettant de faire valoir d’autres droits des personnes concernées25. Si les personnes morales constatent que des organes fédéraux traitent leurs données de façon non conforme au droit, elles doivent entamer une procédure (judiciaire) et pouvoir exiger la rectification ou l’effacement des données les concernant.

Troisièmement, le projet vise à rendre, dans la mesure du possible, les exigences aux­ quelles la LOGA soumet les éventuelles bases légales spécifiques à certains domaines pour le traitement et la communication de données par des organes fédéraux équiva­ lentes aux prescriptions fixées dans la LPD. Ce sont les art. 57r et 57s LOGA qui sont concernés : ces deux dispositions subiront des modifications afin d’améliorer la cohé­ rence avec les dispositions de la LPD consacrées au traitement de données person­ nelles par les organes fédéraux (art. 34 ss. LPD). En particulier, il convient d’éviter que les exigences auxquelles seront soumis les organes fédéraux soient plus strictes pour le traitement ou la communication de données concernant des personnes morales qu’elles ne le sont lorsqu’il s’agit de données personnelles.

Hormis les adaptations décrites ci-dessus, l’objectif visé n’est pas de créer des dispo­ sitions générales alignant la protection des données concernant des personnes mo­ rales sur celles des données personnelles, ni de mettre en place une protection des données des personnes morales qui soit identique à celle octroyée aux données per­ sonnelles dans la nouvelle LPD. Il est également important de noter que la majorité des experts interrogés dans le cadre de l’analyse d’impact de la réglementation relative à la révision totale de la LPD et la majorité des participants à la procédure de consultation s’étaient prononcés en faveur d’une réduction du niveau de protection des données concernant des personnes morales26. Le Parlement a par ailleurs demandé à deux reprises que la LPD ne s’applique plus aux données concernant des personnes mo­ rales : en septembre 2016 puis en février 2017, les Chambres ont tour à tour rejeté la motion Béglé 16.337927 qui visait à ce que les dispositions de la LPD continuent d’as­ surer la protection des données concernant des personnes morales. Dans le cadre des débats relatifs à la révision totale de la LPD, la proposition de la minorité Rutz qui avait pour objectif de maintenir le champ d’application à raison de la matière de la LPD a également été refusée28.

MARTIN STEIGER, OK DSG, art. 25 N 3 (version du 28.08.2023)

26 A ce sujet, voir le message LPD 2017, FF 2017 6565, p. 6632.

27 Motion Béglé 16.3379 « Promouvoir la Suisse en tant que coffre-fort numérique universel. »

Voir à ce sujet les débats et le vote au Conseil national du 24 septembre 2019 : BO 2019 N 1783 ss et 1791.

La disposition transitoire fixée à l’art. 71 LPD sera remplacée par une disposition trans­ versale ancrée dans la LOGA (voir à ce sujet les ch. 2.1.1 et 3.1), ce qui permettra de garantir que les bases légales existantes relatives au traitement et à la communication de données personnelles par des organes fédéraux pourront également s’appliquer aux données concernant des personnes morales. Par conséquent, il n’est pas néces­ saire de modifier toutes les bases légales du droit sectoriel qui habilitent les organes fédéraux à traiter ou communiquer des données personnelles (voir également ch. 1.3), bien que certaines adaptations ponctuelles restent nécessaires (voir ch. 2.1.2). Au de­ meurant, le législateur aura toujours la possibilité de régler la question du traitement et de la communication de données concernant des personnes morales dans le droit spé­ cial.

Le projet législatif ne touche que la protection des données concernant des personnes morales lorsqu’elles sont traitées par des organes fédéraux. Il n’affecte en rien les re­ lations horizontales entre les personnes privées (traitement de données concernant des personnes morales par des personnes privées). Les personnes privées qui traitent des données ne seront pas soumises à de nouvelles obligations.

1.3 Solutions étudiées et solution retenue

Dans son message relatif à la révision totale de la LPD, le Conseil fédéral prévoyait à l’origine d’examiner toutes les dispositions sur la protection des données instituées dans des lois spéciales afin de déterminer quelles prescriptions en vigueur relatives au traitement de données de personnes morales par des organes fédéraux doivent être conservées, modifiées ou abrogées29. Le but était notamment d’adapter les disposi­ tions des lois spéciales aux nouvelles prescriptions ancrées aux art. 57r ss LOGA. Les réponses fournies à un questionnaire interne de l’Administration fédérale de 2023 ont toutefois montré que cette manière de procéder n’était pas opportune : en effet, la ma­ jorité des organes fédéraux interrogés traitent des données concernant des personnes morales et les communiquent. Il est donc difficile, voire impossible d’identifier des ten­ dances ou des similitudes entre les organes. Les raisons pour lesquelles ils communi­ quent ces données varient fortement. Mettre en place des bases légales sectorielles sur mesure pour les données concernant des personnes morales dans un seul projet législatif nécessiterait des efforts démesurés et serait difficilement réalisable dans le délai transitoire de cinq ans fixé à l’art. 71 LPD. En procédant de la sorte, on s’expose­ rait également au risque de créer des lacunes juridiques dont les conséquences pour­ raient être, dans le pire des cas, l’impossibilité, pour les organes fédéraux, de commu­ niquer les données concernant des personnes morales (ou seulement certaines don­ nées) à partir du 1er septembre 2028. Dans ce contexte, le Conseil fédéral a décidé d’ancrer dans la LOGA une solution durable qui puisse s’appliquer de façon équiva­ lente à tous les domaines dans lesquels les organes fédéraux traitent et communiquent des données concernant des personnes morales (voir ch. 2.1.1 et 3.1).

29 Voir le message LPD 2017, FF 2017 6565, p. 6722.

1.4 Relation avec le programme de la législature et avec le plan financier, ainsi qu’avec les stratégies du Conseil fédéral

Le projet n’a été annoncé ni dans le message du 24 janvier 202430 ni dans l’arrêté fédéral du 6 juin 2024 sur le programme de la législature 2023 à 202731. La modification des art. 57r ss LOGA est toutefois nécessaire pour que les organes fédéraux disposent d’une base légale suffisante afin de pouvoir continuer de traiter et communiquer des données concernant des personnes morales une fois le délai transitoire fixé à l’art. 71 LPD expiré (voir ch. 1.2). Ces modifications devront entrer en vigueur au plus tard le 1er septembre 2028.Présentation du projet

2.1 Réglementation proposée

2.1.1 Modification de la loi sur l’organisation du gouvernement et de l’admi­

nistration

Les art. 57r ss LOGA constituent un cadre légal général pour le traitement et la com­ munication de données concernant des personnes morales par les organes fédéraux. Cet avant-projet de modification de la LOGA (AP-LOGA) prévoit une adaptation com­ plète sous quatre aspects principaux :

• Relation avec le droit sectoriel de la protection des données : la disposition transi­ toire fixée à l’art. 71 LPD sera transférée dans la LOGA. Toutefois, contrairement à l’art. 71 LPD, la nouvelle réglementation ne sera pas limitée dans le temps. L’art. 57sbis, al. 1, AP-LOGA prévoit que les dispositions sur la protection des don­ nées personnelles s’appliquent également aux données concernant des personnes morales si l’acte ne contient pas de dispositions sur la protection des données con­ cernant des personnes morales. En d’autres termes, cela signifie que pour les dis­ positions relatives au traitement et à la communication de données par des organes fédéraux, le terme « données personnelles » s’appliquera aux données concernant des personnes morales, comme dans l’ancienne LPD (voir art. 3, let. a et b, aLPD). Les organes fédéraux pourront continuer de traiter et communiquer les données concernant des personnes morales au titre de « données personnelles », comme ils le faisaient avant l’entrée en vigueur de la nouvelle LPD. Ils pourront notamment continuer de traiter et communiquer ces données s’il existe une base légale qui le permet.

• Concrétisation du droit à l’autodétermination informationnelle consacré à l’art. 13, al. 2, Cst. : les art. 57t à 57w AP-LOGA circonscriront expressément les droits ga­ rantis par la Constitution aux personnes morales dont des données sont traitées. Il s’agit en particulier des droits d’accès, de rectification et d’effacement. Les disposi­ tions s’inspirent des droits des personnes physiques en matière de protection des

30 FF 2024 525 31 FF 2024 1440

données consacrés aux articles 25 s. et 41 s. LPD. Les relations avec les disposi­ tions fédérales de procédure sont réglées à l’art. 57x AP-LOGA.

• Uniformisation des exigences requises pour les bases légales (spécifiques à un do­ maine) régissant le traitement et la communication de données par des organes fé­ déraux : pour des motifs d’uniformité et de clarté du droit, les exigences auxquelles est soumise l’élaboration de bases légales pour le traitement et la communication de données concernant des personnes morales devront, dans la mesure du pos­ sible, correspondre à celles fixées aux art. 34 ss LPD. Les dispositions ne devront toutefois pas être plus strictes que celles qui concernent le traitement et la commu­ nication de données personnelles. Les art. 57r et 57s LOGA doivent être légèrement adaptés à cet effet. L’art. 57r AP-LOGA ne servira plus directement de base permet­ tant le traitement de données concernant des personnes morales (au sujet du droit en vigueur, voir ch. 1.1.5.2). En revanche, conformément à l’art. 34 LPD, consacré au traitement de données personnelles par des organes fédéraux, le principe de l’habilitation spéciale devra s’appliquer. Comme pour le traitement de données des personnes physiques, le traitement de données concernant des personnes morales ne nécessite pas toujours une base légale formelle. Dans certaines conditions, une base légale materielle suffit même pour le traitement de données sensibles concer­ nant des personnes morales. De manière analogue à la LPD, trois dispositions spé­ ciales sont en outre prévues pour le traitement automatique de données dans le cadre d’essais pilotes, pour la proposition de documents aux Archives fédérales et pour les traitements à des fins ne se rapportant pas à des personnes (voir à ce sujet les nouveaux art. 57rbis, 57squater et 57squniquies AP-LOGA).

• Sous-traitance : enfin, l’art. 57ster AP-LOGA règlera les cas dans lesquels un organe fédéral pourra confier le traitement de données concernant des personnes morales à un sous-traitant. Cette disposition s’inspire elle aussi dans une large mesure des prescriptions de la LPD relatives aux données personnelles (voir art. 9 LPD).

2.1.2 Modification d’autres actes (annexe)

Les dispositions de la LOGA consacrées au traitement de données concernant des personnes morales par des organes fédéraux constituent une réglementation transver­ sale. C’est pourquoi les modifications prévues devront être reprises dans les disposi­ tions de protection des données des lois spéciales. Il s’agit principalement d’adapter ou de compléter les renvois qui y figurent.

En revanche, il n’y aura d’harmonisation des dispositions sectorielles en matière de protection des données. Ce type de modification dépasserait le cadre nécessaire et ne serait pas judicieux dans ce projet, que ce soit sur le fond ou sur le plan temporel (voir ch. 1.2).

2.2 Mise en œuvre

Les dispositions d’exécution pour la mise en œuvre des modifications de la LOGA se­ ront réglées au niveau des ordonnances, notamment l’ordonnance du 25 novembre

1998 sur l’organisation du gouvernement et de l’administration (OLOGA)32. Des ques­ tions de mise en œuvre se posent notamment dans le domaine de la sous-traitance et en ce qui concerne le droit d’accès (voir art. 57ster, al. 2, et 57v, al. 6, AP-LOGA et leur commentaire).

3 Commentaire des dispositions

3.1 Commentaire des modifications de la LOGA

Art. 20, al. 2

Cette disposition est simplement modifiée sur le plan rédactionnel afin d'y introduire l'abréviation de la PA, qui est réutilisée à l’art. 57v, al. 6, AP-LOGA.

Art. 57hbis, al. 1, phrase introductive, 2, 3 et 4

Le renvoi à l’art. 57r, al. 2, LOGA est mis à jour, car la définition des données sensibles concernant des personnes morales est désormais réglée à l’art. 57qbis AP-LOGA.

Art. 57j, al. 2

Le renvoi à l’art. 57r, al. 2, LOGA est mis à jour, car la définition des données sensibles concernant des personnes morales est désormais réglée à l’art. 57qbis AP-LOGA.

Art. 57qbis Données sensibles concernant des personnes morales

Pour des motifs de systématique, la notion de données sensibles concernant des per­ sonnes morales ne figurera plus dans la disposition consacrée au traitement de don­ nées concernant des personnes morales, à savoir l’art. 57r AP-LOGA, mais dans une nouvelle disposition placée au début de la section portant sur la protection des données concernant des personnes morales.

L’art. 57qbis AP-LOGA dresse la liste exhaustive de certaines catégories qualifiées de données concernant des personnes morales (données sensibles) dont le traitement ou la communication sont en partie soumis à des exigences légales plus strictes que lorsqu’il s’agit de données « standard » (voir en particulier les art. 57r, al. 2, AP-LOGA et 57s, al. 2, LOGA). Cette liste de données sensibles concernant des personnes mo­ rales est retravaillée, tant sous l’aspect systématique que sur le fond, afin qu’elle se rapproche autant que possible de la définition légale des données personnelles sen­ sibles qui figure à l’art. 5, let. c, LPD. La disposition prévue à l’art. 57sbis AP-LOGA relative aux bases légales sectorielles nécessite que la définition des notions apparais­ sant dans la LPD et la LOGA soient aussi cohérentes que possible (voir le commentaire relatif à l’art. 57sbis AP-LOGA). Toutes les catégories de données personnelles sen­

32 RS 172.010.1

sibles mentionnées à l’art. 5, let. c, LPD qui peuvent également s’appliquer à des don­ nées concernant des personnes morales ou qui n’exigent pas les conditions naturelles de l’homme (voir à ce sujet l’art. 53 CC) doivent par conséquent figurer dans la liste de l’art. 57qbis AP-LOGA. À l’inverse, les catégories de données spécifiques aux per­ sonnes physiques ou qui sont d’une importance pratique moindre pour les personnes morales ne sont pas reprises. Il s’agit des données sur la santé, la sphère intime ou l’origine raciale ou ethnique (art. 5, let. c, ch. 2, LPD), des données génétiques (art. 5, let. c, ch. 3, LPD), des données biométriques identifiant une personne physique de ma­ nière univoque (art. 5, let. c, ch. 4, LPD) et des données sur des mesures d’aide sociale (art. 5, let. c, ch. 6, LPD). Dans ce contexte, parmi les catégories de données mention­ nées à l’art. 5, let. c, LPD, restent les « données sur des poursuites ou sanctions pé­ nales et administratives », qui sont considérées comme des données sensibles con­ cernant des personnes morales.

En revanche, les données relatives à des secrets professionnels, d’affaires ou de fa­ brication mentionnées jusqu’à présent à l’art. 57r, al. 2, let. b, LOGA sont retirées de la liste des données sensibles concernant des personnes morales. Cette suppression correspond au libellé de l’article avant l’entrée en vigueur de la nouvelle LPD, le 1er septembre 2023. Les règles applicables aux données « standard » concernant des personnes morales s’appliqueront aux organes fédéraux qui traitent et communiquent ce type de données. Ce retour à l’ancienne législation est principalement justifié par le fait que ce sont en premier lieu les dispositions pertinentes des actes législatifs spé­ ciaux sur l’obligation de garder le secret (en particulier l’art. 62 de la loi fédérale du 15 décembre 2000 sur les produits thérapeutiques [LPTh] au sujet de la confidentialité des données33) et non pas les règles générales relatives à la protection des données ou de la personnalité qui doivent protéger les données relatives aux secrets professionnels, d’affaires ou de fabrication. A cela s’ajoute le fait qu’accorder une protection particulière aux secrets professionnels, d’affaires et de fabrication pour les personnes morales en l’absence d’une protection analogue pour les personnes physiques, conduit à une asy­ métrie : les personnes morales seraient privilégiées par rapport aux personnes phy­ siques (p. ex. entreprises individuelles), et ce sans motif valable.

Art. 57r Traitement de données concernant des personnes morales

L’art. 57r, al. 1, LOGA est remplacé par une nouvelle disposition, et ses al. 2, 3 et 4 sont complétés. L’objectif est que le traitement de données concernant des personnes morales soit soumis à des exigences comparables à celles s’appliquant au traitement de données personnelles. L’art. 57r AP-LOGA reprend en grande partie l’art. 34 LPD.

Al. 1 : cette disposition prévoit que les organes fédéraux ne sont en droit de traiter des données concernant des personnes morales que s’il existe une base légale. Il s’agit d’une disposition équivalente à l’art. 34, al. 1, LPD. Le maintien de la base légale di­ rectement applicable et étant actuellement en vigueur (art. 57r, al. 1, LOGA) pourrait entraîner un conflit de normes avec le nouvel art. 57sbis AP-LOGA : pour traiter des

33 RS 812.21

données concernant des personnes morales, les organes fédéraux pourraient soit s’ap­ puyer sur l’art. 57r, al. 1, LOGA, soit sur la disposition relative à la protection des don­ nées d’un acte législatif spécial, qui s’appliquera également aux données concernant des personnes morales conformément à l’art. 57sbis AP-LOGA. Pour éviter ce conflit, le nouvel art. 57r, al. 1, AP-LOGA ne constitue plus une base légale directement appli­ cable, mais il exige l’existence d’une base légale sectorielle, de façon comparable à ce qui est prévu à l’art. 57s LOGA pour la communication de données concernant des personnes morales. Après cette modification, les organes fédéraux ne pourront plus s’appuyer sur l’art. 57r, al. 1, LOGA pour légitimer le traitement de données concernant des personnes morales, mais ils devront se fonder sur une base légale figurant dans un acte législatif spécial. La situation sera équivalente à celle en vigueur avant la révi­ sion totale de la LPD. Conformément à l’art. 57sbis AP-LOGA, il pourra s’agir d’une disposition sur le traitement des données personnelles. Il faudra potentiellement légi­ férer si les bases légales permettant le traitement de données concernant des per­ sonnes morales ont été adaptées dans les actes législatifs spéciaux suite à la révision totale de la LPD (ou qu’elles s’apprêtent à l’être) et qu’elles renvoient directement à l’art. 57r, al. 1, LOGA en vigueur pour permettre le traitement de données concernant des personnes morales. Si nécessaire, il faudra créer une nouvelle base légale autori­ sant le (futur) traitement de données concernant des personnes morales.

Al. 2 : la définition des données sensibles concernant des personnes morales figurant à l’art. 57r, al. 2, LOGA apparaîtra dans un article distinct, à savoir l’art. 57qbis AP- LOGA (voir le commentaire relatif à cet article). Le nouvel art. 57r, al. 2, AP-LOGA est inspiré de l’art. 34, al. 2, LPD. Il prévoit que les organes fédéraux ne peuvent traiter des données sensibles concernant des personnes morales que si une loi au sens formel le prévoit. Les cas précis, tels que ceux ancrés à l’art. 34, al. 2, let. b et c, LPD ne sont pas repris dans le nouvel art. 57r, al. 2, AP-LOGA. En effet, conformément à l’art. 57sbis AP-LOGA, les organes fédéraux pourront s’appuyer sur les dispositions spéciales re­ latives à la protection des données personnelles si des données concernant des per­ sonnes morales sont utilisées pour le profilage. Le cas où l’acte législatif spécial con­ tient des dispositions particulières consacrées au traitement des données concernant des personnes morales reste réservé (en application de l’art. 57sbis AP-LOGA). Pour procéder à un profilage impliquant des données concernant des personnes morales et s’il n’existe pas de fondement juridique permettant le profilage basé sur des données personnelles, les autorités devront s’appuyer sur une base légale spécifique contenue dans une ordonnance.

Al. 3 : de manière analogue à l’art. 34, al. 3, LPD, l’art. 57r, al. 3, AP-LOGA prévoit que si certaines conditions sont réunies, une base légale contenue dans une loi au sens matériel suffit pour le traitement des données sensibles concernant des personnes mo­ rales. Les conditions énoncées aux let. a et b correspondent à celles de l’art. 34, al. 3, let. a et b, LPD : le traitement est indispensable à l’accomplissement d’une tâche définie dans une loi au sens formel (let. a) et la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée (let. b). Grâce à cette disposition, le traitement de données sensibles concernant des personnes mo­ rales bénéficie des mêmes assouplissements que le traitement de données person­ nelles. Le profilage n’est pas mentionné, puisqu’en application de l’art. 57r, al. 2, AP- LOGA (a contrario), aucune base légale dans une loi au sens formel n’est nécessaire.

Al. 4 : l’art. 57r, al. 4, AP-LOGA règle, de façon analogue à l’art. 34, al. 4, LPD, les cas dans lesquels des organes fédéraux peuvent exceptionnellement traiter des données concernant des personnes morales en l’absence de base légale, en dérogation aux art. 57r, al. 1 à 3, AP-LOGA. La liste d’exceptions est la même que celle de l’art. 34, al. 4, let. a à c, LPD. Le traitement de données concernant des personnes morales (y compris les données sensibles) est autorisé sans base légale (sans que l’organe fédé­ ral s’appuie directement sur l’art. 57r, al. 1, LOGA ou qu’une disposition dans une norme spéciale le prévoie) lorsque :

• le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés (let. a) ;

• la personne morale concernée a consenti au traitement en l’espèce ou a rendu ses données accessibles à tout un chacun et ne s’est pas opposée expressément au traitement (let. b) ; ou lorsque

• le traitement est nécessaire pour protéger la vie ou l’intégrité corporelle d’un tiers et qu’il n’est pas possible d’obtenir le consentement de la personne morale concernée dans un délai raisonnable (let. c).

L’art. 57r, al. 4, let. a, AP-LOGA est légèrement reformulée dans sa version allemande par rapport au libellé de l’art. 34, al. 4, let. a, LPD afin de souligner le fait que des critères objectifs permettent de déterminer si les droits des personnes morales concer­ nées ne sont pas menacés.

Art. 57rbis Traitement automatisé de données dans le cadre d’essais pilotes

L’art. 57rbis AP-LOGA permet au Conseil fédéral d’autoriser des essais pilotes dans le cadre desquels sont traitées des données sensibles concernant des personnes mo­ rales par voie d’ordonnance (et non pas dans une loi au sens formel, comme l’exigerait normalement l’art. 57r, al. 2, AP-LOGA pour les données sensibles concernant des personnes morales) (voir art. 57rbis, al. 1 et 3, AP-LOGA). Cette disposition institue une réglementation largement semblable à celle des art. 35 LPD et 32 à 35 OPDo, qui vi­ sent à faciliter les projets de numérisation sans renoncer aux principes de l’État de droit34. À l’inverse de ses pendants dans la LPD et l’OPDo, l’art. 57rbis AP-LOGA ne prévoit pas la consultation du Préposé fédéral à la protection des données et à la trans­ parence (PFPDT) puisqu’il n’est pas compétent pour la surveillance des traitements de données concernant des personnes morales (voir à ce sujet le commentaire de l’art. 57sbis, al. 2, let. b, AP-LOGA).

L’art. 57rbis, al. 1, AP-LOGA énonce les conditions qui doivent être remplies pour que des essais pilotes puissent être menés. De manière analogue à l’art. 35, al. 1, LPD, les tâches qui nécessitent un tel traitement doivent être réglées dans une loi au sens formel déjà en vigueur (let. a). Par ailleurs, des mesures appropriées doivent être prises aux

34 SANDRA HUSI, OK DSG, art. 35 N 2 ss. (version du 19.08.2023) au sujet du traitement de données personnelles dans le cadre d’essais pilotes.

fins de réduire au minimum les atteintes aux droits fondamentaux de la personne mo­ rale concernée (let. b). Enfin, il faut qu’une phase d’essai soit indispensable avant l’en­ trée en vigueur d’une loi au sens formel, en particulier pour des raisons techniques (let. c). Les critères rendant un essai pilote indispensable sont énumérés à l’art. 57rbis, al. 2, AP-LOGA et correspondent à ceux énoncés à l’art. 32 OPDo.

Conformément à l’57rbis, al. 4, AP-LOGA, l’essai pilote doit être évalué au plus tard dans les deux ans après sa mise en œuvre. L’organe fédéral responsable doit présen­ ter un rapport d’évaluation au Conseil fédéral, en lui proposant la poursuite ou l’inter­ ruption de l’essai. Dans l’ensemble, l’essai pilote pourra durer cinq ans au maximum. Si aucune loi au sens formel ne prévoit la base légale nécessaire au traitement des données, l’essai pilote doit être interrompu (art. 57rbis, al. 5, AP-LOGA ; voir aussi l’art. 35, al. 3 et 4, LPD concernant le traitement des données personnelles dans le cadre d’essais pilotes).

En ce qui concerne les essais pilotes impliquant le traitement de données « stan­ dard » concernant des personnes morales, voir le ch. 3.2.9 consacré à la loi fédérale du 17 mars 2023 sur l’utilisation de moyens électroniques pour l’exécution des tâches des autorités (LMETA)35.

Art. 57s, al. 1, 3, phrase introductive, let. bbis et bter, 4 phrase introductive, 5, première phrase et 6, let. a et b

Al. 1 : l’art. 57s, al. 1, AP-LOGA dispose que les organes fédéraux ne sont en droit de communiquer des données concernant des personnes morales que s’il existe une base légale. Cette disposition a été modifiée sur le plan linguistique pour correspondre à la formulation de l’art. 57r, al. 1, AP-LOGA ; il ne s’agit pas d’une modification d’ordre matériel.

Al. 3 phrase introductive, let. bbis et bter : L’art. 57s, al. 3, LOGA règle les cas dans lesquels la communication de données concernant des personnes morales est excep­ tionnellement autorisée en l’absence de base légale. Dans sa version allemande, la phrase introductive a été adaptée sur le plan linguistique pour correspondre à la for­ mulation de l’art. 57r, al. 3, AP-LOGA ; il ne s’agit pas d’une modification d’ordre maté­ riel. La liste est complétée par deux nouvelles exceptions ancrées aux let. bbis et bter afin de rapprocher cet article de son pendant dans la LPD, l’art. 36, al. 2, let. c et d. Il s’agit de la communication de données concernant des personnes morales (y compris les données sensibles) pour protéger la vie ou l’intégrité corporelle d’un tiers (let. bbis) et du cas où la personne morale a rendu ses données accessibles à tout un chacun (let. bter).

35 RS 172.019

Al. 4, phrase introductive : l’abréviation de la loi du 17 décembre 2004 sur la transpa­ rence (LTrans)36 a été ajoutée à l’art. 57s, al. 4, LOGA parce qu’elle est réutilisée à l’art. 57w LOGA.

Al. 5, première phrase : la modification ne concerne que la version allemande du texte. A la première phrase de l’al. 5, « Rechtsgrundlage » est remplacé par « gesetzliche Grundlage » afin de correspondre, sur le plan linguistique, à l’art 57s, al. 1, AP-LOGA. Il ne s’agit pas d’une modification d’ordre matériel.

Al. 6, let. a et b : les modifications apportées à l’art. 57s, al. 6, LOGA ne concernent que la version française et sont purement d’ordre rédactionnel : le libellé est modifié pour correspondre à celui de la disposition analogue de la LPD (art. 36, al. 6). A la let. a « intérêt légitime manifeste » est remplacé par « intérêt digne de protection manifeste » et à la let. b « des prescriptions particulières » est remplacé par « une disposition par­ ticulière ».

Art. 57sbis Relation avec la protection des données concernant des per­ sonnes morales dans un acte législatif spécial

Al. 1 (principe) : Selon l’art. 57sbis, al. 1, AP-LOGA, les dispositions sur la protection des données personnelles s’appliquent également aux données concernant des per­ sonnes morales si un acte législatif spécial contient des dispositions sur la protection des données personnelles, mais pas de dispositions sur la protection des données concernant des personnes morales. L’art. 57sbis, al. 1, AP-LOGA correspond sur le fond à la réglementation transitoire de l’art. 71 LPD, sans limites de validité.

Il porte sur toutes les dispositions régissant la protection des données dans les actes législatifs spéciaux (tant les lois que les ordonnances), sauf si l’acte en question con­ tient déjà une réglementation au sujet de la protection des données concernant des personnes morales. Lors de la révision totale du droit de la protection des données, certaines dispositions de lois et d’ordonnances spéciales ont été modifiées dans le but de protéger les données concernant des personnes morales37. Ces adaptations con­ sistent à faire une distinction nette entre la protection des données personnelles et la protection des données concernant des personnes morales dans les dispositions en question. Il ne doit pas nécessairement s’agir de dispositions qui contiennent l’expres­ sion de « données concernant des personnes morales », mais elles peuvent mention­ ner explicitement certaines catégories de données : par exemple, l’ordonnance du

36 RS 152.3 Le message LPD 2017 (voir. FF 2017 6565, p. 6722 s.) et le rapport explicatif du 31 août 2022 (ch. 7.2.; consul­ table à l’adresse unter www.ofj.admin.ch > État & Citoyen > Protection des données > Nouveau droit de la pro­ tection des données > 1. Étapes préalables > 2022 — Adoption des nouvelles ordonnances [OPDo et OCPD] > Rapport explicatif OPDo) contiennent une liste des lois spéciales modifiées dans le cadre de la révision totale du droit de la protection des données.

16 octobre 2024 sur le traitement des données dans le système d’information automa­ tisé du service civil38 fait référence aux « données relatives aux établissements d’affec­ tation » (art. 1, let. d) sans mentionner les « données concernant des personnes mo­ rales ». Si un acte législatif spécial contient déjà des dispositions sur la protection des données concernant des personnes morales, il est inutile de préciser que les disposi­ tions sur la protection des données personnelles s’appliquent aux données concernant des personnes morales.

L’utilisation du terme d’« acte législatif spécial » sert à souligner que la disposition ne s’applique pas à la LPD et à ses ordonnances. Autrement dit, l’art. 57sbis, al. 1, AP- LOGA ne permet pas de rendre applicables la LPD et ses ordonnances aux données concernant des personnes morales. En effet, depuis que la révision totale de la LPD et de ses ordonnances est entrée en vigueur, la protection des données concernant des personnes morales n’entre plus dans son champ d’application (voir ch. 1.1.1). La révi­ sion de la LOGA ne changera pas ce principe.

De manière analogue à l’art. 71 LPD, l’art. 57sbis, al. 1, AP-LOGA porte sur toutes les dispositions qui règlent la protection des données personnelles par des organes fédé­ raux. En premier lieu, la réglementation porte sur toutes les bases légales pouvant être invoquées pour le traitement et la communication de données personnelles. L’objectif principal est que les organes fédéraux continuent de traiter et communiquer les données concernant des personnes morales comme elles le faisaient avant l’entrée en vigueur de la nouvelle LPD au titre de « données personnelles ». Voici un exemple : si une base légale permet à un organe fédéral de communiquer des données personnelles, l’art. 57sbis, al. 1, AP-LOGA lui permettra également de communiquer des données con­ cernant des personnes morales. L’art. 57sbis, al. 1, AP-LOGA ne se limite toutefois pas aux dispositions qui habilitent un organe fédéral à traiter ou à communiquer des don­ nées personnelles : il porte sur toutes les dispositions relatives à la protection des don­ nées qui concernent les données personnelles. Il peut p. ex. s’agir du devoir d’informa­ tion lors de la collecte de données (p. ex. art. 95 du code de procédure pénale [CPP]39 ou art. 18a de la loi fédérale du 22 mars 1974 sur le droit pénal administratif [DPA]40), d’exceptions au principe de la publicité des documents officiels qui contiennent des don­ nées personnelles (voir p. ex. art. 24e, al. 2, de la loi du 23 juin 2006 sur les installations à câbles [LICa]41 ou art. 52a, al. 2, de la loi du 20 mars 2009 sur le transport de voya­ geurs [LTV]42). La disposition de la LPD, et par conséquent celle de la LOGA, s’applique également aux articles qui utilisent les termes généraux de « protection des données » 38 RS 824.095 39 RS 312.0 40 RS 313.0 41 RS 743.01

42 RS 745.1

ou de « législation sur la protection des données » au lieu de « données personnelles » (voir p. ex. art. 8, al. 2, de la loi fédérale du 30 septembre 2011 sur l’encouragement et la coordination des hautes écoles43 ou art. 16b, al. 2, de la loi fédérale du 20 décembre 1957 sur les chemins de fer [LCdF]44). La protection des données dans des domaines spécifiques aura la même portée qu’avant l’entrée en vigueur de la LPD entièrement révisée sous réserve d’une réglementation spécifique de la protection des données con­ cernant des personnes morales dans le droit sectoriel.

L’art. 57sbis, al. 1, AP-LOGA porte uniquement sur les dispositions qui règlent les rela­ tions entre les personnes privées et les organes fédéraux. Il ne s’applique notamment pas aux dispositions pénales qui ne concernent pas des organes fédéraux (p. ex. l’art. 179novies du code pénal [CP]45 ou l’art. 31, al. 2, de la loi fédérale du 23 décembre 2011 sur la protection extraprocédurale des témoins46). Cela signifie que ces disposi­ tions continuent de s’appliquer uniquement aux données personnelles.

Al. 2 (exceptions) : l’al. 2 limite sous deux aspects la portée de l’art. 57sbis, al. 1, AP- LOGA :

Selon la let. a, l’art. 57sbis, al. 1, AP-LOGA ne s’applique pas aux dispositions spéciales qui concernent le niveau de protection adéquat des données pour la communication de données à l’étranger. Si ces dispositions spéciales s’appliquaient aux données con­ cernant des personnes morales, les organes fédéraux devraient toujours s’assurer, lors du transfert de données, que tant les données personnelles que celles qui concernent des personnes morales bénéficient d’un niveau de protection adéquat à l’étranger. Or, de nombreux ordres juridiques étrangers ne prévoient pas de protection des données concernant les personnes morales (notamment la majorité des lois sur la protection des données des États de l’UE). Dans de telles circonstances, les organes fédéraux devraient exiger ou négocier des garanties spécifiques afin d’assurer la protection des données concernant des personnes morales, ce qui alourdirait inutilement l’échange de données transfrontière. Typiquement, les dispositions spéciales qui exigent un ni­ veau de protection adéquat des données pour leur communication à l’étranger sont des dispositions qui renvoient aux art. 16 et 17 LPD (p. ex. art. 107a, al. 5, de la loi du 21 décembre 1948 sur l’aviation47, l’art. 100, al. 3, let. b, de la loi du 3 février 1995 sur

43 RS 414.20 44 RS 742.101 45 RS 311.0 46 RS 312.2

47 RS 748.0

l’armée48 ou l’art. 25, al. 4, de la loi du 17 juin 2011 sur l’encouragement des sports49). Il s’agit également de dispositions du droit sectoriel qui règlent la communication de données à l’étranger (p. ex. l’art. 11f de la loi du 20 mars 1981 sur l’entraide pénale internationale [EIMP]50, les art. 349c ss CP ou l’art. 61, al. 2, de la loi du 25 septembre 2015 sur le renseignement [LRens]51). Dans ces deux cas, l’art. 57sbis, al. 2, let. a, AP- LOGA permet d’assurer que les prescriptions spéciales ne s’appliquent qu’au niveau de la protection des données personnelles.

L’art. 57sbis, al. 2, let. a, AP-LOGA porte uniquement sur les dispositions spéciales qui concernent le niveau de protection adéquat des données pour leur communication à l’étranger. Les autres dispositions, qui posent des exigences plus élevées pour la com­ munication de données à l’étranger (p. ex. dans le domaine de l’entraide judiciaire) continuent de s’appliquer tant aux données personnelles qu’aux données concernant des personnes morales.

Ce nouvel article n’a pas pour objectif d’octroyer de nouvelles compétences au Préposé fédéral à la protection des données et à la transparence (PFPDT) en matière de surveil­ lance du traitement des données concernant des personnes morales. C’est la raison pour laquelle l’art. 57sbis, al. 2, let. b, AP-LOGA prévoit que les dispositions sectorielles qui concernent l’activité de surveillance du PFPDT ne sont valables que pour les don­ nées des personnes physiques. Il s’agit par exemple de dispositions relatives à la sur­ veillance du traitement des données dans le cadre de la coopération Schengen/Dublin (p. ex. art. 111g de la loi du 16 décembre 2005 sur les étrangers et l’intégration52 ou art. 102d de la loi du 26 juin 1998 sur l’asile53) ou à l’information du PFPDT en cas de communication de données personnelles à l’étranger (p. ex. art. 349c, al. 5, CP), mais également de dispositions qui permettent à la personne concernée de demander au PFPDT d’examiner le report d’une réponse (p. ex. art. 63, al. 3 en rel. avec art. 64 LRens).

Al. 3 (délégation de compétences) : En matière de sécurité des données, l’art. 57sbis, al. 3, AP-LOGA établit que le Conseil fédéral règle l’applicabilité des dispositions rela­ tives à la sécurité des données personnelles aux données concernant des personnes morales. Cela s’explique par le fait que différentes ordonnances liées à un domaine spécifique concrétisent les exigences en matière de sécurité des données. En re­ vanche, les dispositions générales en matière de traitement des données concernant

48 RS 510.10 49 RS 415.0 50 RS 351.1

51 RS 121 52 RS 142.20

53 RS 142.31

des personnes morales qui figurent aux art. 57r ss LOGA ne règlent pas la question de la sécurité des données54. Afin que les dispositions sectorielles en matière de sécurité des données ne s’appliquent pas sans autre aux données concernant des personnes morales sur la base de l’art. 57sbis, al. 1, AP-LOGA, le Conseil fédéral est habilité à régler l’applicabilité de ces dispositions aux données concernant des personnes mo­ rales. Puisque les dispositions spéciales relatives à la sécurité des données se trouvent en général dans les ordonnances, la disposition d’exception à ce sujet doit être édictée au même niveau.

Art. 57ster Sous-traitance

La disposition consacrée à la sous-traitance autorise les organes fédéraux à trans­ mettre des données concernant des personnes morales à un sous-traitant, et à lui con­ fier le traitement, si certaines conditions sont réunies. La sous-traitance doit être diffé­ renciée du fait de communiquer des données à un tiers : il ne s’agit pas d’une commu­ nication au sens de la législation sur la protection des données, parce que la maîtrise des données reste entre les mains de l’organe fédéral responsable55.

La sous-traitance est une pratique courante : par exemple, la conservation de données dans le cloud peut, dans de nombreux cas, être qualifiée comme de la sous-traitance56. Toutefois, la LOGA ne comportait aucune disposition à ce sujet. La définition de la relation entre l’organe fédéral responsable et le sous-traitant établie à l’art. 57ster AP- LOGA correspond en grande partie à celle de l’art. 9 LPD.

Al.¹ : De manière similaire à la sous-traitance de données personnelles (art. 9, al. 1, LPD), les organes fédéraux pourront confier le traitement de données concernant des personnes morales à un sous-traitant pour autant qu’un contrat ou la loi le prévoie (art. 57ster, al. 1, phrase introductive, AP-LOGA). Pour ce faire, il faut que le sous-trai­ tant effectue un traitement que l’organe fédéral responsable serait en droit d’effectuer lui-même (let. a) et qu’aucune obligation légale ou contractuelle de garder le secret n’interdise la sous-traitance (let. b). Le sous-traitant devra en particulier respecter les prescriptions spéciales qui s’appliquent aux organes fédéraux lorsqu’il s’agit de don­ nées concernant des personnes morales. L’art. 57ster, al. 1, AP-LOGA ne rend pas pour autant les dispositions de la LPD applicables aux données concernant des personnes

A ce sujet, voir la note de bas de page 59. 55 BRUNO BAERISWYL, SHK DSG, art. 9 N 10 au sujet de la sous-traitance de données personnelles Message LPD 2017, FF 2017 6565, p. 6651.

morales. C’est pour cette raison que l’art. 9, al. 2, LPD n’est pas repris. Ainsi, les dis­ positions de la LPD et de l’ordonnance du 31 août 2022 concernant la protection des données (OPDo)57 concernant la sécurité des données ne s’appliquent qu’aux données personnelles, mais pas aux données concernant des personnes morales58.

L’art. 57ster, al. 2 et 3, AP-LOGA concerne l’autorisation d’un sous-traitant de sous- traiter à son tour et les motifs justificatifs de cette autorisation, qui correspondent à l’art. 9, al. 3 et 4, LPD. Diverses questions de mise en œuvre se posent au sujet de la forme de l’autorisation. Elles seront précisées dans une ordonnance, de manière équi­ valente à l’art. 7 OPDo.

Art. 57squater Proposition des documents aux Archives fédérales

Les prescriptions en matière d’archivage applicables aux données concernant des per­ sonnes morales sont les mêmes que celles qui s’appliquent aux données personnelles. Le nouvel art. 57squater AP-LOGA reprend, par analogie, l’art. 38 LPD. Il prévoit que les organes fédéraux doivent proposer aux Archives fédérales de reprendre toutes les don­ nées concernant des personnes morales dont ils n’ont plus besoin en permanence (al. 1). Les données que les Archives fédérales ont désignées comme n’ayant plus de valeur archivistique doivent être détruites par l’organe fédéral à moins qu’elles ne soient rendues anonymes ou ne doivent être conservées à titre de preuve, par mesure de sûreté ou afin de sauvegarder un intérêt digne de protection de la personne morale concernée (al. 2).

Art. 57squinquies Traitements à des fins ne se rapportant pas à des personnes

L’art. 39 LPD facilite le traitement des données personnelles à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique. Une disposition analogue est ajoutée, à l’art. 57squinquies AP-LOGA, afin que ces allégements puissent également s’appliquer aux traitements de données concernant des personnes morales à des fins ne se rapportant pas à des personnes. L’art. 57squinquies, al. 1, AP-LOGA énumère quatre conditions relatives à l’anonymisation

57 RS 235.11 La sécurité des données concernant des personnes morales est cependant garantie jusqu’à un certain point par la loi du 18 décembre 2020 sur la sécurité de l’information (LSI ; RS 128) et les ordonnances qui s’y rappor­ tent, notamment l’ordonnance du 8 novembre 2023 sur la sécurité de l’information (OSI, RS 128.1). Bien que ces textes ne soient pas spécifiquement consacrés à la protection des données concernant des personnes mo­ rales, les mesures qu’ils prévoient peuvent y contribuer indirectement (p. ex. les principes de confidentialité, de disponibilité, d’intégrité et de traçabilité des informations fixés à l’art. 6 LSI), en particulier lorsque des mesures de protection sont prévues pour des documents qui contiennent des données concernant des personnes mo­ rales.

(let. a), à la communication de données sensibles concernant des personnes morales (let. b), à la communication à des tiers (let. c) et à la publication (let. d). Si ces conditions sont remplies, l’exigence d’une base légale pour la communication de données con­ cernant des personnes morales (art. 57s, al. 1 et 2, LOGA) et pour le traitement de données sensibles concernant des personnes morales, d’une base légale au sens for­ mel (art. 57r, al. 3, 2e phrase, AP-LOGA), est abandonnée (art. 57squinquies, al. 2, AP- LOGA)59.

Art. 57t Droit d’accès

Le droit d’accès est une composante essentielle du droit à l’autodétermination informa­ tionnelle au sens de l’art. 13, al. 2, Cst. Les personnes morales peuvent y recourir (voir ch. 1.1.3 et 1.2). Le droit d’accès permet aux personnes concernées par un traitement de données d’en vérifier la licéité et de faire valoir, le cas échéant, d’autres droits dé­ coulant de la protection des données tels que l’effacement ou la rectification des don­ nées qui les concernent60. Le droit d’accès garanti par la Constitution est fixé explicite­ ment dans la loi, à l’art. 57t AP-LOGA.

L’art. 57t AP-LOGA est le pendant de l’art. 25 LPD consacré au droit d’accès des per­ sonnes physiques. Les spécificités des personnes morales exigent quelques modifica­ tions : ce nouvel article ne sera pas identique à l’art. 25, al. 3, LPD puisqu’il n’existe pas de données sur la santé des personnes morales.

L’art. 57t, al. 1, AP-LOGA octroie à toutes les personnes morales le droit de demander à l’organe fédéral responsable du traitement si des données les concernant sont trai­ tées. Ce droit s’applique inconditionnellement et sans qu’il ne soit nécessaire d’appor­ ter la preuve d’un intérêt (sous réserve de l’abus de droit [voir art. 57u, al. 1, let. c, AP- LOGA])61. Par ailleurs, il n’est pas possible de renoncer par avance au droit d’accès (art. 57t, al. 4, AP-LOGA).

L’art. 57t, al. 2, AP-LOGA concrétise, dans une clause générale les informations qui doivent être communiquées. Conformément à cette disposition, la personne morale doit recevoir toutes les informations nécessaires pour garantir que le traitement de don­ nées est transparent et pour qu’elle puisse exercer différentes voies de recours. La liste des informations qui doivent au minimum être communiquées, qui apparaît à l’art. 57t, al. 2, let. a à f, AP-LOGA correspond en grande partie à celle de l’art. 25, al. 2, let. a à g, LPD. Contrairement à ce que prévoit l’art. 25, al. 2, let. d, LPD, selon l’art. 57t, al. 2, let. d, AP-LOGA, il ne suffit pas de fournir les critères ayant permis de fixer la durée de

Voir BRUNO BAERISWYL, SHK DSG, art. 39 N 6 concernant le traitement de données personnelles à des fins ne se rapportant pas à des personnes. 60 Par exemple : BRUNO BAERISWYL, SHK DSG, remarques liminaires concernant les art. 25 à 29 N 2 ; MARTIN

STEIGER, OK DSG, art. 25 N 1 s. (version du 28.08.2023).

61 Voir RAINER J. SCHWEIZER / LEA STRIEGEL, SGK BV, art. 13 N 102.

conservation des données. L’organe fédéral doit communiquer la durée de conserva­ tion des données. Par ailleurs, seules les informations relatives à l’existence d’une dé­ cision individuelle automatisée ainsi qu’à la logique sur laquelle se base la décision (art. 25, al. 2, let. f, LPD) ne sont pas reprises à l’art. 57t, al. 2, AP-LOGA pour les personnes morales. À l’heure actuelle, les art. 57r ss LOGA ne contiennent aucune règle relative aux obligations des organes fédéraux et aux droits des personnes mo­ rales concernées en cas de décision individuelle automatisée. Enfin, selon l’art. 57t, al. 2, let. f, AP-LOGA, et à l’inverse de l’art. 25, al. 2, let. g, en rel. avec l’art. 19, al. 4, LPD, en cas de communication de données à l’étranger, il ne sera pas nécessaire de communiquer les garanties prévues ou l’application d’une exception.

Les al. 3, 5 et 6 de l’art. 57t AP-LOGA concernent différentes modalités de la commu­ nication d’informations. L’al. 6 habilite le Conseil fédéral à régler d’autres particularités du droit d’accès, notamment les exceptions à la gratuité (voir également ch. 2.2).

Art. 57u Restrictions au droit d’accès

Le droit d’accès des personnes morales n’est pas absolu. Restreignant ce droit, l’art. 57u AP-LOGA prévoit une réglementation largement similaire à celle de l’art. 26 LPD. Outre les dispositions légales en matière de maintien d’obligation de gar­ der le secret (art. 57u, al. 1, let. a, AP-LOGA, qui, contrairement à l’art. 26, al. 1, let. a, LPD, ne renvoie pas directement aux secrets professionnels par manque de pertinence pratique), des intérêts publics prépondérants (art. 57u, al. 2, AP-LOGA) ou privés (art. 57u, al. 1, let. b, AP-LOGA) peuvent également s’opposer à la communication des ren­ seignements. Par ailleurs, l’organe fédéral peut refuser, restreindre ou différer la com­ munication de renseignements lorsque la demande d’accès est manifestement infon­ dée notamment parce qu’elle poursuit un but contraire à la protection des données ou qu’elle est manifestement procédurière (art. 57u, al. 1, let. c, AP-LOGA). L’objectif est d’écarter les demandes de renseignements abusives62. Les motifs de refus figurant à l’art. 26, al. 2, let. a, et 3 LPD ne sont pas repris du fait qu’ils s’appliquent spécifique­ ment aux responsables du traitement privés et non pas à des organes fédéraux.

L’organe fédéral doit indiquer le motif pour lequel il refuse, restreint ou diffère la com­ munication des informations (art. 57u, al. 3, AP-LOGA). La restriction au droit d’accès est rendue sous la forme d’une décision susceptible de recours (art. 5 PA) et les pres­ criptions du droit de la procédure administrative doivent être respectées63.

Art. 57v Prétentions et procédure

Comme les art. 57t et 57u AP-LOGA relatifs au droit d’accès, l’art. 57v AP-LOGA vise également à concrétiser le droit à l’autodétermination informationnelle au sens de l’art. 13, al. 2, Cst. (voir ch. 1.1.3).

62 MARTIN STEIGER, OK DSG, art. 26 N 13 (version du 28.08.2023)

SANDRA HUSI, SHK DSG, art. 26 N 38

Correspondant en grande partie à l’art. 41 LPD, les al. 1 et 2 de l’art. 57v AP-LOGA reconnaissent différentes prétentions aux personnes morales concernées par un trai­ tement, afin que ces dernières puissent s’opposer aux traitements illicites effectués par un organe fédéral64. Elles pourront exiger de l’organe fédéral responsable qu’il s’abs­ tienne de procéder à un traitement illicite, qu’il en supprime les effets ou qu’il constate le caractère illicite du traitement (al. 1). En particulier, elles pourront demander qu’il rectifie, efface ou détruise les données et qu’il publie ou communique à des tiers sa décision à ce sujet (al. 2).

En ses al. 3 à 5, l’art. 57v AP-LOGA (comme les al. 3 à 5 de l’art. 41 LPD) prévoit diverses exceptions, notamment en matière de limitation du traitement, de la mention de son caractère litigieux et pour les fonds gérés par des institutions patrimoniales pu­ bliques.

Les personnes morales peuvent faire valoir les prétentions qui leur reviennent au sens de l’art. 57v AP-LOGA dans le cadre d’une procédure administrative régie par la PA (al. 6). L’organe fédéral se prononce sur l’octroi ou le rejet de ces prétentions dans une décision susceptible de recours au sens de l’art. 5 PA.

Art. 57w Procédure en cas de communication de documents officiels contenant des données concernant des personnes morales

L’art. 57w AP-LOGA règle la façon dont les personnes morales peuvent faire valoir les droits que leur confère l’art. 57v AP-LOGA dans le cadre d’une procédure destinée à obtenir l’accès à des documents officiels au sens de la LTrans. Cette disposition s’ins­ pire de l’art. 42 LPD.

Art. 57x Relation avec les dispositions fédérales de procédure

Al. 1 : l’art. 57x, al. 1, AP-LOGA règle la relation des dispositions de l’AP-LOGA sur la protection des données concernant des personnes morales avec les dispositions fédé­ rales de procédure. Il s’agit d’une disposition parallèle à l’art. 2, al. 3, LPD qui ne s’ap­ plique plus qu’aux données personnelles depuis que les données concernant des per­ sonnes morales ne font plus partie du champ d’application de la LPD. Un nouvel art. 57x, al. 1, AP-LOGA a été élaboré afin de garantir que la situation juridique soit la même pour les personnes morales que pour les personnes physiques. Il prévoit que la protection des données concernant des personnes morales dans le cadre de procé­ dures sera régie par les dispositions fédérales de procédure. La réglementation s’ap­ plique à toutes les dispositions de l’AP-LOGA sur la protection des données concernant des personnes morales, hormis l’art. 57sbis AP-LOGA. Les règles fixées dans les dis­ positions fédérales de procédure qui se rapportent à la protection des données person­ nelles pourront également s’appliquer aux données concernant des personnes morales conformément à l’art. 57sbis AP-LOGA. Les procédures administratives de première instance sont exclues par l’art. 57x, al. 1, AP-LOGA. Ce sont les art. 57qbis à 57w AP- LOGA qui s’appliquent dans ces cas. L’art. 57x, al. 1, AP-LOGA vaut d’une part pour

64 MONIQUE STURNY, SHK DSG, art. 41 N 2

toutes les unités administratives qui entrent dans le champ d’application de la LOGA par exemple dans le domaine de l’entraide judiciaire. D’autre part, la disposition touche également les tribunaux fédéraux dont les dispositions de procédure prévoient une ap­ plication par analogie de l’AP-LOGA. Le nouvel art. 57x, al. 1, AP-LOGA garantit que la protection des données concernant des personnes morales, en particulier leurs droits de procédure, sera régie par les dispositions de procédure pertinentes. Les dis­ positions de l’AP-LOGA relatives à la protection des données concernant des per­ sonnes morales ne s’appliquent pas, à l’exception de l’art. 57sbis AP-LOGA.

Al. 2 : l’al. 2 de l’art. 57x AP-LOGA est une disposition parallèle à l’al. 4 de l’art. 2 LPD. Il est intégré à l’AP-LOGA afin de garantir que les personnes morales soient dans la même situation juridique que les personnes physiques. Il permet d’assurer que l’exclu­ sion des registres publics du champ d’application de la LOGA s’applique également aux données concernant des personnes morales.

3.2 Commentaire relatif à la modification d’autres lois fédérales (annexe)

3.2.1 Loi fédérale du 21 mars 1997 instituant des mesures visant au maintien

de la sûreté intérieure65

Art. 23a, al. 4

Cette disposition relative au droit d’accès des personnes morales et au droit de faire rectifier leurs données est complétée par un renvoi à l’AP-LOGA.

3.2.2 Loi fédérale du 25 septembre 2015 sur le renseignement66

Art. 63, al. 1 et 4

Un renvoi aux prescriptions de l’AP-LOGA relatives au droit d’accès des personnes morales est ajouté aux deux alinéas.

3.2.3 Loi du 18 décembre 2020 sur la sécurité de l’information (LSI)67

Art. 69, al. 2

Cette disposition ne s’adressant qu’aux personnes morales, le renvoi à la LPD en ma­ tière de restrictions à la communication de renseignements est remplacé par un renvoi à l’AP-LOGA.

65 RS 120 66 RS 121 67 RS 128

Art. 70 al. 2

Cette disposition est complétée par un renvoi à l’AP-LOGA pour ce qui est de la notion de données sensibles concernant des personnes morales.

Art. 75, al. 4

Conformément à l’art. 57sbis, al. 1, AP-LOGA, le devoir d’information au sens de l’art. 75, al. 4, 1re phrase, LSI s’applique également aux données concernant des per­ sonnes morales. Pour que le traitement de données concernant des personnes mo­ rales ne soit pas soumis à des règles plus strictes que celui de données concernant de personnes physiques, la réserve fixée à l’art. 20 LPD concernant la restriction du devoir d’information prévu à l’art. 75, al. 4, 2e phrase, LSI doit également s’appliquer aux don­ nées concernant des personnes morales. Cette précision est ajoutée dans une nou­ velle phrase. En effet, la LOGA ne contient pas de disposition analogue à l’art. 20 LPD à laquelle l’art. 75, al. 4, LSI pourrait renvoyer.

3.2.4 Loi du 20 juin 2003 sur le système d’information commun aux domaines

des étrangers et de l’asile68

Art. 4, al. 2

Cette disposition est complétée par un renvoi à l’AP-LOGA pour ce qui est de la notion de données sensibles concernant des personnes morales.

Art. 6

Cette disposition relative au droit d’accès des personnes concernées et aux demandes de rectification est complétée par un renvoi aux dispositions de l’AP-LOGA relatives aux données concernant des personnes morales.

Art. 7, al. 2

Cette disposition est adaptée de manière à ce qu’elle s’applique tant aux données per­ sonnelles qu’aux données concernant des personnes morales. En conséquence, le renvoi à la LPD a été supprimé.

3.2.5 Loi du 22 juin 2001 sur les documents d’identité69

Art. 10

Cette disposition est complétée par un renvoi aux dispositions pertinentes de l’AP- LOGA relatives à la protection des données concernant des personnes morales par des organes fédéraux.

68 RS 142.51 69 RS 143.1

3.2.6 Loi fédérale du 26 juin 1998 sur l’archivage70

Art. 1, al. 1, let. b

Cette disposition est adaptée de manière à introduire l’abréviation de la LOGA, qui est réutilisée à l’art. 15. Il s’agit d’une modification d’ordre rédactionnel.

Art. 15, al. 1, 1re phrase

Cette disposition sur la communication de renseignements aux personnes concernées et leur droit d’accès est complétée par un renvoi aux dispositions de l’AP-LOGA rela­ tives aux données des personnes morales. De plus, la disposition est légèrement adap­ tée sur le plan rédactionnel.

L’expression de « données personnelles » dans la loi sur l’archivage n’est pas adaptée. Dans les articles concernés (art. 11, 13, al. 3, et 14, al. 2), l’expression doit être com­ prise au sens de l’art. 5, let. a, LPD comme désignant les données des personnes phy­ siques. Ainsi, l’article 57sbis AP-LOGA ne trouve pas application. Les données concer­ nant des personnes morales sont protégées par les art. 9 et 12 de la loi sur l’archivage.

3.2.7 Loi du 17 décembre 2004 sur la transparence (LTrans)71

Art. 3, al. 2, 2e phrase

L’art. 3, al. 2, LTrans régit la coordination entre le droit, consacré de la LPD, des per­ sonnes de demander si des données les concernant sont traitées et le droit d’accès aux documents officiels ancré dans la LTrans72. Jusqu’à présent, seule la relation entre la LTrans et la LPD était réglée : dans ce contexte, l’accès aux documents officiels, qui contiennent des données personnelles concernant le demandeur est régi par la LPD. Il faut désormais coordonner le principe de la transparence avec le droit d’accès que les art. 57t s. AP-LOGA garantissent aux personnes morales. C’est dans ce contexte qu’une deuxième phrase vient compléter l’art. 3, al. 2 LTrans. Si une personne morale demande à consulter un document officiel qui contient des données la concernant, ce sont les art. 57t et 57u AP-LOGA qui s’appliquent. Cette primauté du droit d’accès au sens de la LOGA repose sur les mêmes motifs que la primauté du droit d’accès au sens de la LPD. Le droit d’une personne de demander si des données la concernant sont traitées n’est pas un droit d’accès général, mais il s’agit d’un moyen de recours individuel, en faveur de la personne (physique ou morale) concernée par un traitement.

70 RS 152.1 71 RS 152.3 Par exemple : CHRISTA STAMM-PFISTER, in: Gabor P. Blechta / David Vasella (éd.), Basler Kommentar zum Öf­ fentlichkeitsgesetz, 4e éd., 2024 (« BSK BGÖ »), art. 3 N 30.

Il trouve son fondement dans le droit à l’autodétermination informationnelle et vise un autre objectif que le principe de la transparence ancré dans la LTrans73.

Art. 9, al. 2, 1re phrase

Cette disposition est adaptée de manière à intégrer l’abréviation de la LOGA, qui a été introduite à l’art. 3. Il s’agit d’une modification d’ordre purement rédactionnel.

3.2.8 Loi du 18 juin 2004 sur les publications officielles74

Art. 16b, al. 1

Cette disposition est complétée par un renvoi à l’AP-LOGA pour ce qui est de la notion de données sensibles concernant des personnes morales.

3.2.9 Loi fédérale du 17 mars 202375 sur l’utilisation de moyens électroniques

pour l’exécution des tâches des autorités (LMETA)

Art. 15, al. 1, let. g, et 3, let. a

La disposition sur le traitement de données automatisé dans le cadre d’essais pilotes (art. 35 LPD) s’applique aux données sensibles concernant des personnes physiques et aux traitements au sens de l’art. 34, al. 2, let. b et c LPD. Pour le traitement de données sensibles concernant des personnes morales, une disposition est introduite à l’art. 57rbis AP-LOGA (voir les explications au ch. 3.1).

L’art. 15 LMETA est également complété pour fournir une base légale pour les projets pilotes dans lesquels des données « standard » concernant des personnes morales sont utilisées. L’art. 10, al. 2, let. a LMETA fait déjà une distinction claire entre les don­ nées personnelles et les données concernant des personnes morales. Cette distinction est également introduite à l’art. 15, al. 1, let. g et al. 3, let. a, LMETA.

3.2.10 Loi fédérale du 17 juin 2005 sur le Tribunal fédéral (LTF)76

Art. 25b, titre et al. 1

Le renvoi aux dispositions de la LOGA est étendu à l’entier du chapitre 4 du titre 4 de celle-ci.

S’agissant des art. 57h à 57hter LOGA, les tribunaux fédéraux gèrent des systèmes de gestion des affaires, à l’instar de l’administration fédérale et des Services du Parlement.

Voir CHRISTA STAMM-PFISTER, BSK BGÖ, art. 3 N 31. 74 RS 170.512 75 RS 172.019

76 RS 173.110

Il est pertinent de soumettre les tribunaux aux mêmes dispositions. Il convient tout de même de rappeler que l’art. 57h LOGA fournit un fondement légal pour l’exploitation d’un système de gestion des affaires et que l’art. 57hbis LOGA précise en vue de quels buts le traitement de données personnelles et de données concernant des personnes morales dans un tel système est licite77. Cela signifie donc que ces articles ne consti­ tuent pas la base légale pour le traitement de données personnelles et de données concernant des personnes morales. Le traitement doit toujours se fonder sur une base légale spéciale.

Le renvoi doit également couvrir les art. 57qbis à 57x AP-LOGA dans la mesure où les tribunaux fédéraux traitent des données concernant des personnes morales dans le cadre de leurs activités. Lorsque le traitement s’effectue dans le cadre de procédures, celui-ci est régi par les dispositions fédérales de procédure conformément à l’art. 57x AP-LOGA.

3.2.11 Loi fédérale du 17 juin 2005 sur le Tribunal administratif fédéral78

Art. 27b, titre et al. 1

Voir les remarques formulées pour l’art. 25b, al. 1, LTF au ch. 3.2.10.

3.2.12 Loi fédérale du 20 mars 2009 sur le Tribunal fédéral des brevets79

Art. 5a, titre et al. 1

Voir les remarques formulées pour l’art. 25b, al. 1, LTF au ch. 3.2.10.

3.2.13 Loi fédérale du 19 mars 2010 sur l’organisation des autorités pénales de

la Confédération80

Art. 18a

Le Ministère public de la Confédération traite à la fois des données personnelles et des données concernant des personnes morales dans le cadre de ses activités. Il convient donc de créer une base légale semblable à celle dont disposent les tribunaux fédéraux. Pour plus de détails, voir le commentaire relatif à l’art. 25b, al. 1, LTF au ch. 3.2.10.

77 Voir message LPD 2017, FF 2017 6565, p. 6731.

78 RS 173.32 79 RS 173.41

80 RS 173.71

Art. 62a, titre et al. 1

Voir le commentaire relatif à l’art. 25b, al. 1, LTF au ch. 3.2.10.

3.2.14 Loi fédérale du 25 septembre 2020 sur la protection des données

(LPD)81

Art. 71

La disposition transitoire de l’art. 71 LPD est reprise, sans limite temporelle, dans l’AP- LOGA (voir le commentaire relatif à l’art. 57sbis AP-LOGA, ch. 3.1). Cette disposition de la LPD peut donc être abrogée.

3.2.15 Code pénal82

Art. 349a, phrase introductive

Cette disposition est complétée par un renvoi aux dispositions pertinentes de l’AP- LOGA relatives aux exigences auxquelles est soumise la base légale permettant la communication de données concernant des personnes morales.

3.2.16 Loi fédérale du 13 juin 2008 sur les systèmes d’information de police de

la Confédération83

Art. 7, al. 1

Un renvoi aux prescriptions de l’AP-LOGA relatives au droit d’accès des personnes morales est ajouté à cette disposition.

3.2.17 Loi du 4 octobre 1991 sur les EPF84

Art. 36a, al. 1, 1re phrase

Une modification terminologique doit être effectuée dans les versions allemande et ita­ lienne de cette disposition.

Art. 36b, al. 1 et 5, 2e phrase

Une modification terminologique doit être effectuée dans les versions allemande et ita­ lienne de ces dispositions.

81 RS 235.1 82 RS 311.0 83 RS 361

84 RS 414.110

Art. 36c

Une modification terminologique doit être effectuée à l’al. 1 dans les versions alle­ mande et italienne.

L’al. 2 est complété par un renvoi aux dispositions pertinentes de l’AP-LOGA en ma­ tière de protection des données concernant des personnes morales par des organes fédéraux.

Art. 36f

Une modification terminologique doit être effectuée à l’al. 1 dans les versions alle­ mande et italienne.

Le renvoi à la LPD est mis à jour : l’abréviation introduite à l’art. 36c, al. 2, est reprise à l’art. 36f, al. 2. Par ailleurs, la disposition est complétée par un renvoi aux dispositions pertinentes de l’AP-LOGA relatives à la protection des données concernant des per­ sonnes morales par des organes fédéraux.

3.2.18 Loi du 9 octobre 1992 sur la statistique fédérale (LSF)85

Art. 7, al. 2, 2e phrase

D’une part, l’art. 7, al. 2, 2e phrase LSF est adapté afin d’introduire l’abréviation de la LPD qui sera réutilisée à l’art. 10, al. 5, LSF. D’autre part, de façon analogue à la ré­ glementation concernant les données personnelles, il est prévu que les données con­ cernant des personnes morales extraites de banques de données cantonales et com­ munales qui sont soumises à une obligation légale de garder le secret ne peuvent pas être communiquées au sens de l’art. 57squinquies AP-LOGA concernant les traitements à des fins ne se rapportant pas à des personnes.

Art. 10, al. 5, 2e phrase

La modification est d’ordre purement rédactionnel : l’abréviation LPD, introduite à l’art. 7 LSF est reprise dans cette disposition. Par ailleurs, un renvoi à l’art. 57squinquies AP-LOGA, consacré aux traitements à des fins ne se rapportant pas à des personnes, vient compléter l’art. 10, al. 5, 2e phrase, LSF.

Art. 16, al. 1, 2e phrase

Cette disposition est complétée par un renvoi aux dispositions de la LOGA qui concer­ nent les traitements aux fins de recherche, de planification et de statistique.

85 RS 431.01

3.2.19 Loi du 5 octobre 2007 sur la géoinformation86

Art. 11, al. 1, 1re phrase

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédé­ raux. Sa formulation subit également de légères modifications. L’expression « à toutes les géodonnées de base » est remplacée par « aux géodonnées de base ». Cette mo­ dification vise à clarifier que la LPD ou la LOGA s’appliquent pour le traitement de géo­ données de base dès lors qu’elles contiennent des données personnelles ou des don­ nées concernant des personnes morales. A des fins d’uniformisation des règles appli­ cables aux géodonnées de base relevant du droit fédéral, les dispositions pertinentes de la LPD et de la LOGA s’appliquent quel que ce soit le responsable du traitement (administration fédérale, cantonale, communale ou acteur du secteur privé agissant dans le cadre d’un mandat conféré par les autorités)87.

3.2.20 Loi fédérale du 3 octobre 200888 sur les systèmes d’information de l’ar­

mée et du DDPS (LSIA)

Art. 1, al. 1, phrase introductive, et 3

La LSIA fait une distinction nette entre les données concernant des personnes phy­ siques et morales. L’art. 57sbis AP-LOGA ne trouve donc pas application (voir le com­ mentaire à ce sujet, ch. 3.1). La terminologie doit par conséquent être harmonisée dans l’ensemble de l’acte. Comme la notion de données personnelles ne s’applique plus qu’aux données concernant des personnes physiques depuis l’entrée en vigueur de la nouvelle LPD, l’expression « données personnelles concernant des personnes phy­ siques et morales » est remplacée par « données personnelles et […] données con­ cernant des personnes morales » à l’art. 1, al. 1, LSIA. Une autre modification termino­ logique a également dû être effectuée dans les versions allemande et italienne.

L’art. 1, al. 3, LSIA est complété par un renvoi aux dispositions pertinentes de l’AP- LOGA en matière de protection des données concernant des personnes morales par des organes fédéraux. La disposition est légèrement adaptée sur le plan rédactionnel.

Art. 2a, al. 1, let. b et c

Comme à l’art. 1, al. 1, LSIA, une modification terminologique dans les versions alle­ mande et italienne doit être effectuée à l’art. 2a, al. 1, let. b et c LSIA.

86 RS 510.62 Voir le message LPD 2017, FF 2017 6565, p. 6749. 88 RS 510.91

Art. 6, let. b

Cette disposition est complétée par un renvoi à la LOGA.

Art. 186, al. 1, let. b, et 3

Une modification terminologique doit être effectuée dans les versions allemande et ita­ lienne de l’art. 186, al. 1, let. b, LSIA. Un renvoi à la LOGA est ajouté à l’art. 186, al. 3, LSIA.

3.2.21 Loi du 28 juin 1967 sur le Contrôle des finances89

Art. 10, al. 3, 1re et 2e phrases

Lors de la révision totale de la LPD, la mention « y inclus des données personnelles » a été supprimée des textes allemand et italien. Cette suppression n’avait pas lieu d’être. La réintroduction de cette mention s’impose pour aligner les versions allemande et ita­ lienne de la disposition sur la version correcte, à savoir celle de langue française.

De plus, une autre modification terminologique doit être effectuée dans les versions allemande et italienne de cette disposition.

3.2.22 Loi du 18 mars 2005 sur les douanes90

Art. 38, al. 2

Les décisions individuelles automatisées peuvent concerner des personnes morales ou se baser sur le traitement des données qui les concernent. A des fins de clarté juridique, il convient donc de biffer le renvoi à l’art. 21 LPD, qui ne s’applique qu’aux données personnelles, soit aux personnes physiques. En effet, la LPD étant une loi- cadre, l’art. 21 LPD s’applique de toute manière aux données personnelles, même sans renvoi explicite. Les art. 57qbis ss LOGA ne contiennent en revanche pas de réglementation relative aux obligations des organes fédéraux et aux droits des personnes morales concernées en cas de décisions individuelles automatisées auxquelles il serait possible de renvoyer (voir le commentaire relatif à l’art. 57t LOGA au ch. 3.1).

89 RS 614 90 RS 631.0

3.2.23 Loi du 12 juin 2009 sur la TVA91

Art. 76, al. 3, phrase introductive

Du profilage et du profilage à haut risque peuvent être effectués sur la base de données concernant des personnes morales. Le renvoi, à l’art. 76, al. 3 de la loi sur la TVA, à la « loi fédérale du 25 septembre 2020 sur la protection des données », qui ne vaut plus que pour les données concernant des personnes physiques, est supprimé.

3.2.24 Loi fédérale du 21 mars 1969 sur l’imposition du tabac92

Art. 18, al. 4

Le renvoi à l’art. 21 LPD concernant les décisions individuelles automatisées est supprimé (voir le commentaire au ch. 3.2.22).

3.2.25 Loi du 6 octobre 2006 sur l’imposition de la bière93

Art. 17, al. 3, 2e phrase

Le renvoi à l’art. 21 LPD concernant les décisions individuelles automatisées est supprimé (voir le commentaire au ch. 3.2.22).

3.2.26 Loi du 21 juin 1996 sur l’imposition des huiles minérales94

Art. 21, al. 2bis

Le renvoi à l’art. 21 LPD concernant les décisions individuelles automatisées est supprimé (voir le commentaire au ch. 3.2.22).

3.2.27 Loi du 23 mars 2007 sur l’approvisionnement en électricité (LApEl)95

Art. 17c, al. 1, 2e phrase

La mention de l’application par analogie de la LPD aux traitements de données concernant des personnes morales est supprimée de l’art. 17c, al. 1, 2e phrase, LApEl et remplacée par un renvoi aux dispositions de l’AP-LOGA relatives à la protection des données concernant des personnes morales par des organes fédéraux.

91 RS 641.20 92 RS 641.31 93 RS 641.411 94 RS 641.61

95 RS 734.7

Art. 24

L’abréviation de la LOGA, introduite à l’art. 17c, al. 1, LApEl est reprise à l’art. 24 de cette loi. Il s’agit d’une modification d’ordre purement rédactionnel.

3.2.28 Loi fédérale du 20 décembre 1957 sur les chemins de fer (LCdF)96

Art. 9o, al. 2, 3e phrase

L’abréviation LOGA est ajoutée dans la version italienne de cette disposition.

Art. 16a, al. 1, 1re phrase

L’art. 16a, al. 1, 1re phrase, LCdF est complété par un renvoi aux dispositions perti­ nentes de l’AP-LOGA consacrées à la protection des données concernant des per­ sonnes morales par des organes fédéraux. Aucune modification n’est nécessaire à l’art. 16b, al. 2, LCdF parce que le terme de « législation sur la protection des don­ nées » fait également référence aux dispositions de la LOGA en matière de protection des données.

3.2.29 Loi du 20 mars 2009 sur le transport de voyageurs97

Art. 54, al. 1, 1re phrase

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédé­ raux.

3.2.30 Loi fédérale du 18 mars 2016 sur la surveillance de la correspondance

par poste et télécommunication98

Art. 4

Une modification terminologique doit être effectuée dans les versions allemande et ita­ lienne de cette disposition.

Art. 10, al. 1, let. b, 2, 1re phrase, et 2ter

Un renvoi aux prescriptions de l’AP-LOGA relatives au droit d’accès des personnes morales est ajouté à l’art. 10, al. 1, let. b, 2, 1re phrase, et 2ter.

96 RS 742.101 97 RS 745.1 98 RS 780.1

3.2.31 Loi du 30 avril 1997 sur les télécommunications99

Art. 13b, al. 1, 2e phrase, 2, phrase introductive, et 4, 1re phrase

Une modification terminologique doit être effectuée dans les versions allemande et ita­ lienne de ces dispositions.

3.2.32 Loi fédérale du 24 mars 2006100 sur la radio et la télévision

Art. 88, al. 2

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédé­ raux.

3.2.33 Loi du 1er octobre 2021 sur les produits du tabac101

Art. 39

Les termes d’« informations » et d’« informations concernant des personnes mo­ rales » sont remplacés dans le titre et aux al. 1 et 2 par « données concernant des personnes morales ».

3.2.34 Loi du 17102 juin 2005 sur le travail au noir (LTN)

Art. 17a, al. 3

La LTN comporte en son art. 17a une disposition relative au traitement de données concernant des personnes morales. Un nouvel alinéa qui renvoie aux dispositions per­ tinentes de l’AP-LOGA vient compléter cet article.

99 RS 784.10 100 RS 784.40

101 RS 818.32 102 RS 822.41

3.2.35 Loi fédérale du 25 juin 1982 sur la prévoyance professionnelle vieil­

lesse, survivants et invalidité103

Art. 85a, al. 1, phrase introductive

Une modification terminologique doit être effectuée dans les versions allemande et italienne de cette disposition.

3.2.36 Loi fédérale du 20 mars 1981104 sur l’assurance-accidents

Art. 96, al. 2

Les renvois à la LPD concernant le profilage et le profilage à haut risque et à l’art. 21 LPD pour les décisions individuelles automatisées sont supprimés (voir les commen­ taires aux ch. 3.2.22 et 3.2.23).

3.2.37 Loi fédérale du 19 juin 1992105 sur l’assurance militaire

Art. 94a, al. 2

Les renvois à la LPD concernant le profilage et le profilage à haut risque et à l’art. 21 LPD pour les décisions individuelles automatisées sont supprimés (voir les commen­ taires aux ch. 3.2.22 et 3.2.23).

3.2.38 Loi du 25 septembre 2020 sur les précurseurs de substances explo­

sibles106

Art. 23, al. 1

Cette disposition est complétée par un renvoi aux dispositions pertinentes de l’AP- LOGA pour ce qui est du droit d’accès et du droit de faire rectifier les données incor­ rectes, dont disposent les personnes morales.

103 RS 831.40

104 RS 832.20 105 RS 833.1

106 RS 941.42

3.2.39 Loi du 3 octobre 2003 sur la Banque nationale107

Art. 16, al. 4bis, 2e phrase, et 5

Deux renvois à l’AP-LOGA sont ajoutés à cette disposition : dans la deuxième phrase de l’al. 4bis, il est écrit que l’Office fédéral de la statistique n’est pas autorisé à trans­ mettre les données concernant des personnes morales qui lui ont été communiquées par la Banque nationale sans son consentement, nonobstant le nouvel art. 57squinquies AP-LOGA. Un renvoi aux art. 57qbis à 57x AP-LOGA est ajouté à l’al. 5, pour le traite­ ment de données concernant les personnes morales.

3.2.40 Loi du 10 octobre 1997 sur le blanchiment d’argent (LBA)108

La LBA distinguera clairement les données des personnes physiques des données concernant des personnes morales.

Art. 29, al. 1, 2e phrase, 2, 2e phrase, 2bis, 2e et 3e phrases

A l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA, il est désormais précisé que les renseignements communiqués peuvent également contenir des données person­ nelles sensibles et des données sensibles concernant des personnes morales. Cet ajout clarifie les informations qui peuvent être échangées entre les autorités.

A l’art. 29, al. 2, 2e phrase, LBA, les données sensibles concernant des personnes mo­ rales sont désormais mentionnées en plus des données personnelles sensibles. Art. 29b, al. 1, 2e phrase

Voir les remarques formulées pour l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA au ch. Fehler! Verweisquelle konnte nicht gefunden werden..

Art. 30, al. 1, phrase introductive

Le terme de « données concernant des personnes morales » est ajouté à cette dispo­ sition. Concernant la mention des données personnelles sensibles et des données sen­ sibles concernant des personnes morales, voir les remarques formulées pour l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA au ch. Fehler! Verweisquelle konnte nicht gefunden werden..

107 RS 951.11 108 RS 955.0

Art. 31a

Le renvoi à la loi fédérale du 7 octobre 1994 sur les Offices centraux de police criminelle de la Confédération (LOC)109 pour le traitement de données est supprimé dans la me­ sure où les dispositions relatives à la protection des données sont intégrées dans la LBA (art. 35, al. 1) ; il n’est donc plus nécessaire de faire référence à cette loi.

Titre précédant l’art. 33

Les données concernant des personnes morales sont expressément mentionnées dans le titre précédant l’art. 33 LBA.

Art. 33

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédé­ raux. A des fins de clarté, la disposition est scindée en deux alinéas distincts.

Art. 34, al. 2 et 3

De manière analogue à l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA (ch. Fe­ hler! Verweisquelle konnte nicht gefunden werden.), l’art. 34, al. 2, précise désor­ mais que les intermédiaires financiers peuvent communiquer aux entités mentionnées des données personnelles et des données concernant des personnes morales (y com­ pris des données sensibles).

L’art. 34, al. 3, LBA renvoie à l’AP-LOGA pour le droit d’accès des personnes morales.

Art. 35, al. 1 et 2, 2e phrase

L’art. 35 al. 1, 1re phrase, LBA règle le traitement de données par le bureau de com­ munication et renvoie, dans sa version actuelle, à la LOC. Dans le cadre de l’adaptation de la LOC et du transfert de diverses dispositions de protection des données dans la loi fédérale du 13 juin 2008 sur les systèmes d’information de police de la Confédéra­ tion (LSIP)110, il est justifié de consolider les bases légales pour le traitement de don­ nées personnelles et de données concernant des personnes morales dans la LBA. Sur le fond, rien ne change. Le bureau de communication était déjà habilité à traiter des données sensibles, qu’il s’agisse de personnes physiques ou morales.

De plus, le renvoi aux dispositions de la LSIP relatives au droit d’accès est corrigé et se réfère à toutes les dispositions applicables concernées (art. 7 ss).

109 RS 360

110 RS 361

L’art. 35, al. 2, 2e phrase, LBA prévoit désormais que les informations accessibles via une procédure d'appel peuvent inclure des données personnelles sensibles et des don­ nées sensibles concernant des personnes morales (voir les remarques formulées pour l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA au ch. Fehler! Verweisquelle konnte nicht gefunden werden.).

4 Conséquences

4.1 Conséquences pour la Confédération

Les art. 57qbis ss AP-LOGA permettent de s’assurer que les organes fédéraux conti­ nuent de disposer de bases légales leur permettant de traiter et de communiquer des données concernant des personnes morales. La situation juridique restera inchangée. Il n’est en principe pas nécessaire d’adapter la législation pour les procédures de trai­ tement et de communication de données qui sont déjà en cours. Les traitements de données concernant des personnes morales qui se fondent directement sur la version encore en vigueur de l’art. 57r, al. 1, LOGA demeurent réservés. Pour les nouveaux traitements et communications, la nécessité de légiférer devra être examinée au cas par cas, dans le respect des prescriptions générales de la LOGA.

Par ailleurs, les art. 57t à 57w AP-LOGA octroient aux personnes morales divers droits en matière de protection des données vis-à-vis des organes fédéraux. Dans la mesure où il s’agit de droits constitutionnels dont les personnes morales disposent nécessaire­ ment, leur concrétisation dans la LOGA n’entraîne pas de nouvelles obligations pour les organes fédéraux.

Une disposition de coordination est inscrite à l’art. 57x AP-LOGA pour les traitements de données s’inscrivant dans le cadre de procédures de droit fédéral et pour l’accès aux registres publics relatifs aux rapports de droit privé.

4.2 Conséquences pour les cantons et les communes

Le projet ne concerne pas les cantons et les communes. Les art. 57qbis ss AP-LOGA s’adressent uniquement aux organes fédéraux (voir ch. 2.1.1).

4.3 Conséquences économiques

Les art. 57qbis ss AP-LOGA visent à garantir que la situation juridique en vigueur reste applicable pour les organes fédéraux qui traitent ou communiquent des données con­ cernant des personnes morales. Aucun nouveau moyen de traiter ou de communiquer des données ne sera introduit. Le statut juridique des personnes morales demeure in­ changé. En revanche, la concrétisation dans la loi des droits d’accès et du droit d’exiger la rectification ou l’effacement de données des personnes morales clarifie et renforce leur position vis-à-vis des organes fédéraux.

Puisque l’avant-projet ne règle pas les relations entre personnes privées, c’est-à-dire les cas de traitement de données concernant des personnes morales par d’autres per­ sonnes morales, il n’aura pas d’autres conséquences pour les entreprises et les milieux économiques.

4.4 Conséquences sanitaires et sociales

Les nouveaux articles 57t à 57w AP-LOGA renforcent la position juridique des per­ sonnes morales et contribuent à l’amélioration de la protection des données (voir ch. 2.1.1).

5 Aspects juridiques

5.1 Constitutionnalité

Comme le Conseil fédéral l’avait expliqué dans son message relatif à la révision totale de la LPD111, la Constitution ne contient aucune disposition habilitant expressément la Confédération à légiférer. L’art. 13, al. 2, Cst. consacre, par contre, le droit de toute personne à l’autodétermination informationnelle. Il s’agit là d’un droit fondamental qui n’attribue pas de compétence nouvelle à la Confédération. En vertu de l’art. 35, al. 2, Cst., les personnes qui assument des tâches de l’État sont tenues de respecter les droits fondamentaux et de contribuer à leur réalisation. Ce projet législatif contribue en ce sens à la réalisation de l’art. 13, al. 2, Cst. Les art. 57t à 57w AP-LOGA concrétisent les garanties inscrites à cet article pour les personnes morales. Par ailleurs, le législa­ teur peut invoquer comme base constitutionnelle pour l’édiction de dispositions de pro­ tection des données de droit public pour les autorités et les services de l’administration la compétence implicite qui lui revient en matière d’organisation des autorités fédérales et de procédure. Les compétences fédérales qui découlent de l’existence et de la na­ ture même de la Confédération et pour lesquelles l’attribution explicite d’une compé­ tence législative fait défaut se fondent sur l’art. 173, al. 2, Cst., qui est mentionné dans le préambule de la LOGA, selon la pratique actuelle.

La révision de la LOGA permet d’assurer que les organes fédéraux continuent de dis­ poser de bases légales suffisantes au sens de l’art. 36, al. 1, Cst. leur permettant de traiter et de communiquer des données concernant des personnes morales. Ainsi, les données concernant des personnes morales au sens de l’art. 57sbis AP-LOGA pourront toujours être traitées et communiquées s’il existe une base légale permettant le traite­ ment ou la communication de données personnelles, même si les bases légales sec­ torielles ne mettent pas directement en évidence le fait que les données concernant des personnes morales sont également traitées. Cela correspond toutefois à la régle­ mentation en vigueur.

111 Voir message LPD 2017, FF 2017 6565, p. 6797 s.

5.2 Compatibilité avec les engagements internationaux de la Suisse

Les obligations internationales de la Suisse en matière de protection des données ne lui imposent pas de protéger les données concernant les personnes morales. Il n’y a donc pas d’obligations internationales à respecter.

5.3 Forme de l’acte à adopter

L’avant-projet du Conseil fédéral comprend une modification de la LOGA et, en annexe, les adaptations nécessaires dans d’autres lois fédérales.

5.4 Frein aux dépenses

Le projet ne contient pas de dispositions relatives aux subventions et ne prévoit ni cré­ dits d’engagement ni plafonds de dépenses.

5.5 Délégation de compétences législatives

Les dispositions suivantes de l’AP-LOGA contiennent une délégation de compétences législatives au Conseil fédéral :

• Art. 57sbis, al. 3, AP-LOGA : le Conseil fédéral règle l’applicabilité des dispositions relatives à la sécurité des données personnelles aux données concernant des per­ sonnes morales.

• Art. 57t, al. 6, AP-LOGA : le Conseil fédéral est habilité à régler les modalités du droit d’accès, la responsabilité en cas de traitement commun, les délais et les ex­ ceptions à la gratuité.

5.6 Protection des données

Les art. 57qbis à 57x AP-LOGA sont des dispositions de protection des données trans­ versales qui règlent le traitement de données concernant des personnes morales par les organes fédéraux. En particulier, elles précisent la protection constitutionnelle des données concernant des personnes morales (voir ch. 1.1.3, 1.2 et 2.1.1). La protection des données des personnes physiques n’est pas concernée par les modifications de la LOGA. C’est pourquoi il n’est pas nécessaire de procéder à une analyse d’impact relative à la protection des données personnelles au sens de l’art. 22 LPD.