Révision de la LOGA (protection des données concernant des personnes morales par les organes fédéraux)

Département fédéral de justice et police DFJP

Berne, le 21 mai 2025

Modification de la loi sur l’organisation du gouvernement et de l’administration (protection des données concernant des personnes morales par les organes fédéraux)

Rapport explicatif relatif à l’ouverture de la procédure de consultation

Condensé

La révision de la loi sur l’organisation du gouvernement et de l’administration (LOGA) vise à garantir qu’à partir du 1er septembre 2028, les bases légales nécessaires seront en vigueur pour que les organes fédéraux puissent procéder au traitement de données concernant des personnes morales.

Contexte

Depuis la révision totale de la loi fédérale sur la protection des données du 25 septembre 2020 (LPD), le traitement des données concernant des personnes morales ne fait plus partie du champ d’application de cette loi. La définition de la notion de données personnelles (art. 5, let. a, LPD) se limite aux données concernant une personne physique. Par conséquent, les bases légales fédérales qui règlent le traitement de données personnelles par les organes fédéraux dans des domaines particuliers ne s’appliquent plus aux données concernant des personnes morales. La Constitution (Cst.) exige notamment l’existence d’une base légale en droit sectoriel pour la communication des données concernant des personnes morales. Afin que l’entrée en vigueur de la LPD n’entraîne pas de lacunes juridiques, une disposition transitoire destinée aux organes fédéraux a été ajoutée à l’art. 71 LPD. Elle prévoit que les dispositions d’autres actes relatives au traitement de données personnelles continuent de s’appliquer aux traitements de données concernant des personnes morales pendant les cinq ans suivant l’entrée en vigueur de la LPD, soit jusqu’au 31 août 2028.

Contenu du projet

Le projet mis en consultation propose de transférer la disposition transitoire, fixée à l’art. 71 LPD, dans la LOGA. Pour ce faire, l’AP-LOGA prévoit que pour les organes fédéraux, les dispositions spéciales consacrées à la protection des données personnelles s’appliquent au traitement des données concernant des personnes morales si l’acte législatif spécial ne contient pas de disposition particulière sur la protection des données concernant des personnes morales. Cela signifie que lorsque des dispositions spéciales mentionnent le traitement et la communication de données personnelles par des organes fédéraux, elles continueront de s’appliquer aux données concernant des personnes morales. Il s’agit là d’une solution durable qui pourra être appliquée de façon équivalente à tous les domaines dans lesquels les organes fédéraux traitent et communiquent des données concernant des personnes morales. Afin de garantir la clarté et la sécurité juridiques, les droits dont disposent les personnes morales vis-à-vis des organes fédéraux traitant leurs données, qui leur sont conférés par l’art. 13, al. 2 Cst. (à savoir le droit d’accès, le droit à la rectification et le droit à l’effacement des données), seront expressément réglés dans l’AP-LOGA. Par ailleurs, les exigences auxquelles est soumise l’élaboration de bases légales pour le traitement et la communication de données concernant des personnes morales seront harmonisées avec les prescriptions correspondantes de la LPD. Enfin, un nouvel article consacré à la sous-traitance des données concernant des personnes morales sera introduite.

1.4 Relation avec le programme de la législature et avec le plan financier, 3.2 Commentaire relatif à la modification d’autres lois fédérales (annexe) ...33

3.2.14 Loi fédérale du 25 septembre 2020 sur la protection des données

(LPD) 38

Rapport explicatif

1 Contexte

1.1 Historique

1.1.1 Les données concernant des personnes morales ne sont plus couvertes

par la LPD

Depuis la révision totale de la loi fédérale sur la protection des données du 25 septembre 2020 (LPD)¹, le traitement des données concernant des personnes morales ne fait plus partie de son champ d’application. Conformément à l’art. 2, al. 1, LPD, elle ne régit plus que le traitement des données personnelles concernant des personnes physiques, autrement dit des humains (au sujet de la notion de personnes morales, voir ch. 1.1.5.1).

La situation à l’étranger a notamment été un critère déterminant pour ce changement. Les dispositions en matière de protection des données édictées par l’Union européenne et le Conseil de l’Europe et par la majorité des États protègent uniquement les données concernant des personnes physiques. L’harmonisation du droit suisse avec ces prescriptions a permis de faciliter le transfert de données à l’international. En effet, la communication à l’étranger de données concernant des personnes morales sises en Suisse n’est plus liée au fait que l’État destinataire offre un niveau de protection des données adéquat. Par ailleurs, il s’est avéré qu’en pratique, la protection des données concernant des personnes morales revêtait un rôle secondaire dans de nombreux domaines — en particulier dans le domaine du droit privé — et que diverses autres lois garantissent la protection de la personnalité des personnes morales et la confidentialité des données qui les concernent (notamment les art. 28 ss du code civil², la loi fédérale du 19 décembre 1986 contre la concurrence déloyale³, la loi fédérale du 9 octobre 1992 sur le droit d’auteur et les droits voisins⁴ et les dispositions relatives aux secrets professionnels, d’affaires et de fabrication)5.

Message du Conseil fédéral du 15 septembre 2017 concernant la loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d’autres lois fédérales (« Message LPD 2017 »), FF 2017 6565, p. 6632. Voir également CHRISTIAN DRECHSLER, in : Gabor P. Blechta / David Vasella (éd.), Basler Kommentar zum Datenschutzgesetz, 4e éd., 2024 (« BSK DSG »), art. 2 N 5 ; DRECHSLER, Plädoyer für die Abschaffung des Datenschutzes für juristischer Personen, in PJA 1/2016, p. 80 ss.; JULIAN POWELL / MATTHIAS R. SCHÖNBÄCHLER, in: Adrian Bieri / Julian Powell (éds), Orell Füssli Kommentar zum Datenschutzgesetz, 2023, («OFK DSG»), art. 2 N 4; SYLVAIN MÉTILLE / LIVIO DI TRIA, in Philippe Meier / Sylvain Métille (éds), Commentaire romand. Loi sur la protection des données, 2023 (« CR LPD »), art. 2 N 27 ; SANDRA HUSI-STÄMPFLI,

1.1.2 Conséquences sur les dispositions de protection des données applicables à des domaines spécifiques

La LPD ne s’appliquant plus aux données concernant des personnes morales, la définition du terme de données personnelles a changé : l’art. 5, let. a, LPD les définit désormais comme « les informations concernant une personne physique identifiée ou identifiable ». Conséquence de ce changement, les bases légales fédérales qui réglaient le traitement des données personnelles par des organes fédéraux ne sont désormais plus valables lorsqu’il s’agit de traiter ou de communiquer des données concernant des personnes morales. Conformément au principe de la légalité, ancré à l’art. 5, al. 1, de la Constitution (Cst.)6, l’activité de l’État nécessite en principe une base légale. Il en va de même pour les restrictions des droits fondamentaux, comme le prescrit l’art. 36, al. 1, Cst. Il est nécessaire que les autorités disposent d’une base légale pour le traitement et la communication de données concernant des personnes morales parce que celles-ci peuvent invoquer leur droit à l’autodétermination informationnelle consacré à l’art. 13, al. 2, Cst. (voir ch. 1.1.3). C’est la modification de la notion de données personnelles qui a fait émerger le besoin de légiférer en la matière.

1.1.3 Portée du droit fondamental à la protection des données concernant

des personnes morales

Selon la jurisprudence du Tribunal fédéral et la doctrine dominante, l’art. 13, al. 2, Cst. protège le droit fondamental à l’autodétermination informationnelle (en tant que souscatégorie de la protection de la sphère privée). En d’autres termes, chaque personne doit, en principe, pouvoir déterminer si et dans quel objectif des informations la concernant sont traitées par des tiers, des organes fédéraux ou des personnes privées, indépendamment du caractère sensible des informations concernées7. L’art. 13, al. 2, Cst. ne protège pas seulement de l’utilisation abusive desdites données, mais il couvre en principe (en l’interprétant au-delà de sa formulation) tous les types de traitement de données à caractère personnel effectués par l’État (en particulier la collecte, l’utilisation, la conservation ou la communication)8.

Comme évoqué précédemment (voir. ch. 1.1.2) les personnes morales peuvent invoquer le droit à l’autodétermination informationnelle9. Par conséquent, tout traitement ou

in : Thomas Steiner / Anne-Sophie Morand / Daniel Hürlimann (éds), Onlinekommentar zum Datenschutzgesetz («OK DSG»), art. 2 N 12 (version du 15.08.2023); critique à ce sujet JULIEN FRANCEY, in : Yaniv Benhamou / Bertil Cottier (éds), Petit commentaire loi sur la protection des données (« PC LPD »), 2023, art. 2 N 14 ss. 6 RS 101 Par exemple : ATF 146 I 11 consid. 3.1.1 et ATF 144 I 126 consid. 4.1, avec les références citées. 8 Voir notamment RAINER J. SCHWEIZER / LEA STRIEGEL, in: Bernhard Ehrenzeller / Patricia Egli / Peter Hettich et al. (éds.), St. Galler Kommentar zur Bundesverfassung (« SGK BV »), 4e éd., 2023, art. 13 N 79 et 85 ; GIOVANNI BIAGGINI, Orell Füssli Kommentar zur Bundesverfassung, 2e éd., 2017 («OFK BV»), art. 13 N 11; OLI­ VER DIGGELMANN, in: Bernhard Waldmann / Eva Maria Belser / Astrid Epiney (éds.), Basler Kommentar zur Bundesverfassung, 2015 («BSK BV»), art. 13 N 33; JULIEN FRANCEY, PC LPD, art. 2 N 18 s., tous avec les références citées. 9 Voir RAINER J. SCHWEIZER / LEA STRIEGEL, SGK BV, art. 13 N 83 s.; GIOVANNI BIAGGINI, OFK BV, art. 13 N 3 et 12 ; OLIVER DIGGELMANN, BSK BV, art. 13 N 8, 33 ; JULIEN FRANCEY, PC LPD, art. 2 N 18 s. avec renvoi à

communication de données concernant des personnes morales doit reposer sur une base légale qui tient compte de l’ampleur de la restriction de leurs droits fondamentaux (art. 36, al. 1, Cst.)10.

Divers droits auxquels on octroie un caractère fondamental découlent par ailleurs de la protection des données consacrée par l’art. 13, al. 2, Cst. Il s’agit notamment du droit d’une personne de demander si des données la concernant sont traitées et de son droit à la rectification ou à l’effacement de ses données. Comme les personnes physiques, les personnes morales jouissent de ces droits. Le droit d’accès en particulier fait partie intégrante du droit à l’autodétermination informationnelle, qui permet la concrétisation d’autres droits en matière de protection des données11.

Comme expliqué, les personnes morales continuent d’avoir droit à la protection des données qui les concernent, malgré la modification du champ d’application de la LPD. Les droits fondamentaux découlant de l’art. 13, al. 2, Cst. restent inchangés.

1.1.4 Solution transitoire dans la LPD

Dans le cadre de la révision totale de la LPD, le besoin de légiférer décrit précédemment avait été reconnu, mais il n’avait pu être pris en compte que partiellement pour des motifs d’ordre temporel et pratique. Une série de dispositions relatives au traitement des données de personnes morales par des organes fédéraux ont été introduites aux art. 57r ss de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)12 (voir ch.¹.1.5). En outre, le Conseil fédéral avait écrit dans son message que toutes les dispositions relatives à la protection des données figurant dans les lois spéciales seraient examinées et adaptées à l’issue des débats parlementaires, si possible de façon uniforme, aux prescriptions fixées aux art. 57r ss LOGA13.

Pour éviter des lacunes juridiques dans l’intervalle, une disposition transitoire visant les organes fédéraux a été fixée à l’art. 71 LPD. Elle prévoit que les dispositions d’autres actes relatives à la protection des données (que ce soit dans des lois au sens matériel ou au sens formel) continuent de s’appliquer au traitement des données concernant des personnes morales pendant les cinq ans suivant l’entrée en vigueur de la LPD, soit jusqu’au 31 août 2028. Le but est notamment de permettre aux organes fédéraux de

l’ATF 141 I 201 consid. 4.1. A ce sujet, voir également le message LPD 2017, FF 2017 6565, p. 6595 avec renvoi à l’ATF 137 II 371 consid. 6. 10 GIOVANNI BIAGGINI, OFK BV, art 13 N 15. Également : JULIEN FRANCEY, PC LPD, art. 2 N 18 ss

RAINER J. SCHWEIZER / LEA STRIEGEL, SGK BV, art. 13 N 100 s. et les références citées ; GIOVANNI BIAGGINI, OFK BV, art. 13 N 13. A ce sujet, voir également SYLVAIN MÉTILLE / LIVIO DI TRIA, CR LPD, art. 2 N 31. 12 RS 172.010

Voir message LPD 2017, FF 2017 6565, p. 6722.

continuer à s’appuyer sur les bases légales en vigueur pour la communication de données personnelles lorsqu’ils doivent communiquer des données concernant des personnes morales.

1.1.5 Réglementation en vigueur concernant le traitement de données de personnes morales par des organes fédéraux dans la LOGA

1.1.5.1 Notions et définitions

Comme expliqué ci-dessus (voir ch. 1.1.1 et 1.1.3), les organes fédéraux ont besoin de bases légales suffisantes pour pouvoir traiter ou communiquer des données personnelles et des données concernant des personnes morales. Puisque les prescriptions de la LPD (en particulier les dispositions concernant le traitement de données personnelles par les organes fédéraux, art. 33 ss LPD) ne s’appliquent plus aux données concernant des personnes morales, un cadre juridique général est fixé aux art. 57r à 57t LOGA. Comme les articles de la LPD, ces dispositions de la LOGA constituent une réglementation transversale (sous réserve de divergences dans les lois spéciales) qui doit être respectée dans tous les domaines et dans toutes les circonstances dans lesquelles les organes fédéraux traitent des données concernant des personnes morales.

La définition légale des « organes fédéraux » mentionnés aux art. 57r ss LOGA est celle qui figure à l’art. 5, let. i, LPD (voir également l’art. 57j LOGA) : les organes fédéraux sont toutes les autorités fédérales ou services fédéraux (y compris les unités administratives décentralisées) et les personnes chargées d’une tâche publique de la Confédération14. Le terme de « sous-traitant » est également issu de la LPD (voir art. 5, let. k, LPD). Les notions de « données (concernant des personnes morales) » et de « personnes morales » sont quant à elles sujettes à interprétation :

• Données (concernant des personnes morales) : par analogie à la notion de données personnelles (art. 5, let. a, LPD), les données concernant des personnes morales sont toutes les informations concernant une personne morale identifiée ou identifiable. Il peut notamment s’agir de la raison sociale, des coordonnées, des informations de paiement, des informations relatives à l’organisation, à la forme juridique, aux activités commerciales, et aux subventions, des informations relatives aux mesures d’instruction ou aux sanctions ainsi que des rapports annuels. S’il n’est pas au minimum possible d’identifier la personne morale (p. ex. parce que les données sont anonymisées), les prescriptions des art. 57r ss LOGA ne sont pas applicables.

• Personnes morales : il s’agit avant tout des sociétés organisées corporativement, de même que des établissements ayant un but spécial et une existence propre qui ont acquis une personnalité. En font partie, les associations (art. 60 ss du code civil15 [CC]), les fondations (art. 80 ss CC), les sociétés anonymes (art. 620 ss du code des

Voir message LPD 2017, FF 2017 6941, p. 6733. 15 RS 210

obligations16 [CO]), les sociétés en commandite par actions (art. 764 ss CO), les sociétés à responsabilité limitée (art. 772 ss CO), les sociétés coopératives (art. 828 ss CO) ainsi que les collectivités de droit privé des cantons et les établissements et collectivités de droit public des cantons et de la Confédération. Dans la doctrine relative à l’ancien droit de la protection des données, la notion de personnes morales était interprétée de façon large. Outre les cas directement couverts par le texte de loi, les sociétés de personnes qui n’ont pas de personnalité juridique propre, mais qui ont la capacité d’être partie et d’ester en justice (comme les sociétés en nom collectif [art. 552 ss CO], les sociétés en commandite [art. 594 ss CO] et les communautés de propriétaires d’étages [art. 712l CC]) étaient également des personnes morales selon les auteurs de doctrine. Cette interprétation large de la notion de personne morale est à la base des art. 57r ss LOGA. En revanche, les entités qui ne présentent aucun des éléments de la personnalité juridique au sens du droit suisse, telles que les sociétés simples ou les hoiries, n’entrent pas dans la définition de personnes morales17.

1.1.5.2 Base juridique pour le traitement de données concernant des personnes

morales (art. 57r LOGA)

L’art. 57r, al. 1, LOGA en vigueur constitue une base légale générale et directement applicable pour le traitement18 des données concernant des personnes morales par les organes fédéraux. Il prévoit que les organes fédéraux peuvent traiter des données concernant des personnes morales, y compris des données sensibles19 : (a) dans la mesure où l’accomplissement de leurs tâches l’exige et (b) où elles sont définies dans une

16 RS 220 Sur l’ensemble : DAVID ROSENTHAL / YVONNE JÖHRI, in: Handkommentar zum Datenschutzgesetz, 2008 («HK DSG»), art. 2 N 6 ss; BEAT RUDIN, in: Bruno Baeriswyl / Kurt Pärli / Dominika Blonski (éds.), Stämpfli Handkommentar zum Datenschutzgesetz, 2e éd., 2023 («SHK DSG»), art. 2 N 12; CHRISTIAN DRECHSLER, BSK DSG, art. 2 N 5; JULIEN FRANCEY, PC LPD, art. 2 N 12 s. Le terme de « personnes morales » était déjà compris au sens large comme mentionné ici dans le message du Conseil fédéral du 23 mars 1988 concernant la loi fédérale sur la protection des données (FF 1988 II 421, p. 446). Par analogie à l’art. 5, let. d, LPD le traitement signifie toute opération relative à des données concernant des personnes morales, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données. Pour la communication de données concernant des personnes morales, l’art. 57s LOGA s’applique (voir ch. 1.1.5.3). 19 Conformément à l’art. 57r, al. 2, LOGA, les données sensibles concernant des personnes morales sont les données relatives à des poursuites ou des sanctions administratives ou pénales (let. a) et à des secrets professionnels, d’affaires ou de fabrication (let. b). 12/50

loi au sens formel. Il ne suffit pas d’une disposition dans une ordonnance ou qu’une tâche soit décrite implicitement. La tâche doit être identifiable et suffisamment claire20.

Si les prescriptions de l’art. 57r, al. 1, LOGA sont remplies, une base légale spéciale n’est pas nécessaire, qu’il s’agisse d’une loi ou d’une ordonnance. Ce principe vaut tant pour le traitement des données « standard » concernant des personnes morales que pour celui des données sensibles. L’art. 57r LOGA couvre en principe tous les types de traitement. La situation est différente si le but ou le mode de traitement des données atteint si gravement les droits fondamentaux de la personne morale concernée que l’art. 57r LOGA ne satisfait plus aux exigences du principe de légalité selon les art. 5, al. 1, et 36, al. 1, Cst. en matière de densité normative. Dans ce cas, une réglementation explicite dans la loi spéciale concernée est nécessaire. Ce type de cas peut par exemple se présenter lorsque la forme de collecte des données (en particulier la collecte secrète) ou l’utilisation de nouvelles technologies atteignent les droits fondamentaux à un degré tel qu’une base légale plus précise est nécessaire.

1.1.5.3 Exigences requises pour les bases légales régissant la communication

de données concernant des personnes morales (art. 57s LOGA)

L’art. 57s, al. 1, LOGA dispose que les organes fédéraux sont en droit de communiquer21 des données concernant des personnes morales si une base légale le prévoit. Contrairement à l’art. 57r LOGA, l’art. 57s LOGA ne constitue pas une base légale pour la communication spécifique de données concernant des personnes morales par des organes fédéraux, mais c’est le principe de l’habilitation spéciale qui s’applique dans ce cas. De manière analogue à l’art. 36 LPD (communication de données personnelles), l’art. 57s LOGA règle la question de savoir sur la base de quelles dispositions légales un organe fédéral peut traiter les données concernant des personnes morales et fixe les conditions dans lesquelles ce traitement peut exceptionnellement se faire en l’absence de base légale22.

En principe, les organes fédéraux ne peuvent communiquer des données concernant des personnes morales que lorsqu’une base légale le prévoit (art. 57s, al. 1, LOGA). Il peut s’agir d’un traité international, d’une loi au sens formel ou d’une ordonnance. Alors qu’une disposition dans une ordonnance suffit en règle générale pour la communication de données « standard » concernant des personnes morales, une base légale au sens formel est nécessaire pour la communication de données sensibles (art. 57s, al. 2, LOGA).

Sur l’ensemble, voir également le message LPD 2017, FF 2017 6565, p. 6733. De manière analogue à l’art. 5, let. e, LPD, « communication » correspond au fait de transmettre des données personnelles concernant des personnes morales ou de les rendre accessibles. 22 Sur l’ensemble, voir également le message LPD 2017, FF 2017 6941, p. 6744.

L’art. 57s, al. 3, LOGA énumère de façon exhaustive dans quels cas la communication de données « standard » concernant des personnes morales ou celle de données sensibles peut exceptionnellement être autorisée sans base légale. Il s’agit des mêmes exceptions que celles prévues à l’art 36, al. 2, let. a, b et e LPD.

Enfin, de manière analogue à l’art. 36, al. 3 et 5 LPD, l’art 57s, al. 4 et 5 LOGA contient une réglementation spéciale pour la communication de données concernant des personnes morales dans le cadre de l’information officielle du public.

1.1.5.4 Droits des personnes morales (art. 57t LOGA)

L’art. 57t LOGA renvoie aux règles de procédure applicables pour les droits dont disposent les personnes morales vis-à-vis des organes fédéraux qui traitent ou communiquent des données qui les concernent. Les personnes morales peuvent, dans le cadre d’une procédure administrative de première instance, consulter les pièces conformément aux art. 26 ss de la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)23, exercer leur droit d’être entendu au sens des art. 29 ss PA et recourir, le cas échéant, contre la décision rendue par l’organe fédéral compétent. Elles peuvent également invoquer l’art. 25a PA d’après lequel toute personne qui a un intérêt digne de protection peut exiger que l’organe fédéral rende une décision susceptible de recours. De la sorte, elles peuvent faire rectifier ou effacer les données les concernant de manière indirecte, en passant par le droit procédural24.

1.2 Nécessité d’agir et objectifs visés

Le projet législatif doit en premier lieu éviter les lacunes juridiques une fois que le délai fixé à l’art. 71 LPD sera dépassé (voir ch. 1.1.4). Puisque les données concernant les personnes morales ne font plus partie du champ d’application de la LPD, et qu’elles ne sont plus considérées comme des données personnelles, les organes fédéraux ne pourront plus se fonder sur les bases légales présentes dans les lois spéciales pour traiter et communiquer les données concernant des personnes morales après l’expiration du délai transitoire.

Deuxièmement, le projet règlera concrètement, au niveau de la loi, les droits fondamentaux dont disposent les personnes morales vis-à-vis des organes fédéraux traitant leurs données, qui leur sont conférés par l’art. 13, al. 2, Cst (à savoir droit d’accès, droit à la rectification et droit à l’effacement des données). Cette concrétisation apportera de la clarté au niveau juridique et renforcera la position des personnes morales. L’actuel renvoi de l’art. 57t LOGA aux règles de procédure applicables est problématique d’un point de vue constitutionnel. Il ne permet notamment que de faire valoir les droits en matière de protection des données dans le cadre de procédures en cours. Par ailleurs, la LOGA ne décrit pas de manière suffisamment précise les droits fondamentaux des personnes morales. Qui plus est, l’art. 57t LOGA s’est révélé difficile à mettre en œuvre.

23 RS 172.021 Sur l’ensemble, voir le message LPD 2017, FF 2017 6565, p. 6734.

Une composante centrale du droit à l’autodétermination informationnelle est le droit d’accès. Les personnes morales doivent pouvoir vérifier si les organes fédéraux traitent leurs données de façon conforme au droit, même en dehors des procédures administratives. À titre d’exemple, on peut citer la collecte de données par le Service de renseignement de la Confédération. Le droit d’accès constitue souvent la base permettant de faire valoir d’autres droits des personnes concernées25. Si les personnes morales constatent que des organes fédéraux traitent leurs données de façon non conforme au droit, elles doivent entamer une procédure (judiciaire) et pouvoir exiger la rectification ou l’effacement des données les concernant.

Troisièmement, le projet vise à rendre, dans la mesure du possible, les exigences auxquelles la LOGA soumet les éventuelles bases légales spécifiques à certains domaines pour le traitement et la communication de données par des organes fédéraux équivalentes aux prescriptions fixées dans la LPD. Ce sont les art. 57r et 57s LOGA qui sont concernés : ces deux dispositions subiront des modifications afin d’améliorer la cohérence avec les dispositions de la LPD consacrées au traitement de données personnelles par les organes fédéraux (art. 34 ss. LPD). En particulier, il convient d’éviter que les exigences auxquelles seront soumis les organes fédéraux soient plus strictes pour le traitement ou la communication de données concernant des personnes morales qu’elles ne le sont lorsqu’il s’agit de données personnelles.

Hormis les adaptations décrites ci-dessus, l’objectif visé n’est pas de créer des dispositions générales alignant la protection des données concernant des personnes morales sur celles des données personnelles, ni de mettre en place une protection des données des personnes morales qui soit identique à celle octroyée aux données personnelles dans la nouvelle LPD. Il est également important de noter que la majorité des experts interrogés dans le cadre de l’analyse d’impact de la réglementation relative à la révision totale de la LPD et la majorité des participants à la procédure de consultation s’étaient prononcés en faveur d’une réduction du niveau de protection des données concernant des personnes morales26. Le Parlement a par ailleurs demandé à deux reprises que la LPD ne s’applique plus aux données concernant des personnes morales : en septembre 2016 puis en février 2017, les Chambres ont tour à tour rejeté la motion Béglé 16.337927 qui visait à ce que les dispositions de la LPD continuent d’assurer la protection des données concernant des personnes morales. Dans le cadre des débats relatifs à la révision totale de la LPD, la proposition de la minorité Rutz qui avait pour objectif de maintenir le champ d’application à raison de la matière de la LPD a également été refusée28.

MARTIN STEIGER, OK DSG, art. 25 N 3 (version du 28.08.2023) 26 A ce sujet, voir le message LPD 2017, FF 2017 6565, p. 6632. 27 Motion Béglé 16.3379 « Promouvoir la Suisse en tant que coffre-fort numérique universel. »

Voir à ce sujet les débats et le vote au Conseil national du 24 septembre 2019 : BO 2019 N 1783 ss et 1791.

La disposition transitoire fixée à l’art. 71 LPD sera remplacée par une disposition transversale ancrée dans la LOGA (voir à ce sujet les ch. 2.1.1 et 3.1), ce qui permettra de garantir que les bases légales existantes relatives au traitement et à la communication de données personnelles par des organes fédéraux pourront également s’appliquer aux données concernant des personnes morales. Par conséquent, il n’est pas nécessaire de modifier toutes les bases légales du droit sectoriel qui habilitent les organes fédéraux à traiter ou communiquer des données personnelles (voir également ch. 1.3), bien que certaines adaptations ponctuelles restent nécessaires (voir ch. 2.1.2). Au demeurant, le législateur aura toujours la possibilité de régler la question du traitement et de la communication de données concernant des personnes morales dans le droit spécial.

Le projet législatif ne touche que la protection des données concernant des personnes morales lorsqu’elles sont traitées par des organes fédéraux. Il n’affecte en rien les relations horizontales entre les personnes privées (traitement de données concernant des personnes morales par des personnes privées). Les personnes privées qui traitent des données ne seront pas soumises à de nouvelles obligations.

1.3 Solutions étudiées et solution retenue

Dans son message relatif à la révision totale de la LPD, le Conseil fédéral prévoyait à l’origine d’examiner toutes les dispositions sur la protection des données instituées dans des lois spéciales afin de déterminer quelles prescriptions en vigueur relatives au traitement de données de personnes morales par des organes fédéraux doivent être conservées, modifiées ou abrogées29. Le but était notamment d’adapter les dispositions des lois spéciales aux nouvelles prescriptions ancrées aux art. 57r ss LOGA. Les réponses fournies à un questionnaire interne de l’Administration fédérale de 2023 ont toutefois montré que cette manière de procéder n’était pas opportune : en effet, la majorité des organes fédéraux interrogés traitent des données concernant des personnes morales et les communiquent. Il est donc difficile, voire impossible d’identifier des tendances ou des similitudes entre les organes. Les raisons pour lesquelles ils communiquent ces données varient fortement. Mettre en place des bases légales sectorielles sur mesure pour les données concernant des personnes morales dans un seul projet législatif nécessiterait des efforts démesurés et serait difficilement réalisable dans le délai transitoire de cinq ans fixé à l’art. 71 LPD. En procédant de la sorte, on s’exposerait également au risque de créer des lacunes juridiques dont les conséquences pourraient être, dans le pire des cas, l’impossibilité, pour les organes fédéraux, de communiquer les données concernant des personnes morales (ou seulement certaines données) à partir du 1er septembre 2028. Dans ce contexte, le Conseil fédéral a décidé d’ancrer dans la LOGA une solution durable qui puisse s’appliquer de façon équivalente à tous les domaines dans lesquels les organes fédéraux traitent et communiquent des données concernant des personnes morales (voir ch. 2.1.1 et 3.1).

29 Voir le message LPD 2017, FF 2017 6565, p. 6722.

1.4 Relation avec le programme de la législature et avec le plan financier, ainsi qu’avec les stratégies du Conseil fédéral

Le projet n’a été annoncé ni dans le message du 24 janvier 202430 ni dans l’arrêté fédéral du 6 juin 2024 sur le programme de la législature 2023 à 202731. La modification des art. 57r ss LOGA est toutefois nécessaire pour que les organes fédéraux disposent d’une base légale suffisante afin de pouvoir continuer de traiter et communiquer des données concernant des personnes morales une fois le délai transitoire fixé à l’art. 71 LPD expiré (voir ch. 1.2). Ces modifications devront entrer en vigueur au plus tard le 1er septembre 2028.Présentation du projet

2.1 Réglementation proposée

2.1.1 Modification de la loi sur l’organisation du gouvernement et de l’administration

Les art. 57r ss LOGA constituent un cadre légal général pour le traitement et la communication de données concernant des personnes morales par les organes fédéraux. Cet avant-projet de modification de la LOGA (AP-LOGA) prévoit une adaptation complète sous quatre aspects principaux :

• Relation avec le droit sectoriel de la protection des données : la disposition transitoire fixée à l’art. 71 LPD sera transférée dans la LOGA. Toutefois, contrairement à l’art. 71 LPD, la nouvelle réglementation ne sera pas limitée dans le temps. L’art. 57sbis, al. 1, AP-LOGA prévoit que les dispositions sur la protection des données personnelles s’appliquent également aux données concernant des personnes morales si l’acte ne contient pas de dispositions sur la protection des données concernant des personnes morales. En d’autres termes, cela signifie que pour les dispositions relatives au traitement et à la communication de données par des organes fédéraux, le terme « données personnelles » s’appliquera aux données concernant des personnes morales, comme dans l’ancienne LPD (voir art. 3, let. a et b, aLPD). Les organes fédéraux pourront continuer de traiter et communiquer les données concernant des personnes morales au titre de « données personnelles », comme ils le faisaient avant l’entrée en vigueur de la nouvelle LPD. Ils pourront notamment continuer de traiter et communiquer ces données s’il existe une base légale qui le permet.

• Concrétisation du droit à l’autodétermination informationnelle consacré à l’art. 13, al. 2, Cst. : les art. 57t à 57w AP-LOGA circonscriront expressément les droits garantis par la Constitution aux personnes morales dont des données sont traitées. Il s’agit en particulier des droits d’accès, de rectification et d’effacement. Les dispositions s’inspirent des droits des personnes physiques en matière de protection des

30 FF 2024 525 31 FF 2024 1440

données consacrés aux articles 25 s. et 41 s. LPD. Les relations avec les dispositions fédérales de procédure sont réglées à l’art. 57x AP-LOGA.

• Uniformisation des exigences requises pour les bases légales (spécifiques à un domaine) régissant le traitement et la communication de données par des organes fédéraux : pour des motifs d’uniformité et de clarté du droit, les exigences auxquelles est soumise l’élaboration de bases légales pour le traitement et la communication de données concernant des personnes morales devront, dans la mesure du possible, correspondre à celles fixées aux art. 34 ss LPD. Les dispositions ne devront toutefois pas être plus strictes que celles qui concernent le traitement et la communication de données personnelles. Les art. 57r et 57s LOGA doivent être légèrement adaptés à cet effet. L’art. 57r AP-LOGA ne servira plus directement de base permettant le traitement de données concernant des personnes morales (au sujet du droit en vigueur, voir ch. 1.1.5.2). En revanche, conformément à l’art. 34 LPD, consacré au traitement de données personnelles par des organes fédéraux, le principe de l’habilitation spéciale devra s’appliquer. Comme pour le traitement de données des personnes physiques, le traitement de données concernant des personnes morales ne nécessite pas toujours une base légale formelle. Dans certaines conditions, une base légale materielle suffit même pour le traitement de données sensibles concernant des personnes morales. De manière analogue à la LPD, trois dispositions spéciales sont en outre prévues pour le traitement automatique de données dans le cadre d’essais pilotes, pour la proposition de documents aux Archives fédérales et pour les traitements à des fins ne se rapportant pas à des personnes (voir à ce sujet les nouveaux art. 57rbis, 57squater et 57squniquies AP-LOGA).

• Sous-traitance : enfin, l’art. 57ster AP-LOGA règlera les cas dans lesquels un organe fédéral pourra confier le traitement de données concernant des personnes morales à un sous-traitant. Cette disposition s’inspire elle aussi dans une large mesure des prescriptions de la LPD relatives aux données personnelles (voir art. 9 LPD).

2.1.2 Modification d’autres actes (annexe)

Les dispositions de la LOGA consacrées au traitement de données concernant des personnes morales par des organes fédéraux constituent une réglementation transversale. C’est pourquoi les modifications prévues devront être reprises dans les dispositions de protection des données des lois spéciales. Il s’agit principalement d’adapter ou de compléter les renvois qui y figurent.

En revanche, il n’y aura d’harmonisation des dispositions sectorielles en matière de protection des données. Ce type de modification dépasserait le cadre nécessaire et ne serait pas judicieux dans ce projet, que ce soit sur le fond ou sur le plan temporel (voir ch. 1.2).

2.2 Mise en œuvre

Les dispositions d’exécution pour la mise en œuvre des modifications de la LOGA seront réglées au niveau des ordonnances, notamment l’ordonnance du 25 novembre

1998 sur l’organisation du gouvernement et de l’administration (OLOGA)32. Des questions de mise en œuvre se posent notamment dans le domaine de la sous-traitance et en ce qui concerne le droit d’accès (voir art. 57ster, al. 2, et 57v, al. 6, AP-LOGA et leur commentaire).

3 Commentaire des dispositions

3.1 Commentaire des modifications de la LOGA

Art. 20, al. 2

Cette disposition est simplement modifiée sur le plan rédactionnel afin d'y introduire l'abréviation de la PA, qui est réutilisée à l’art. 57v, al. 6, AP-LOGA.

Art. 57hbis, al. 1, phrase introductive, 2, 3 et 4

Le renvoi à l’art. 57r, al. 2, LOGA est mis à jour, car la définition des données sensibles concernant des personnes morales est désormais réglée à l’art. 57qbis AP-LOGA.

Art. 57j, al. 2

Le renvoi à l’art. 57r, al. 2, LOGA est mis à jour, car la définition des données sensibles concernant des personnes morales est désormais réglée à l’art. 57qbis AP-LOGA.

Art. 57qbis Données sensibles concernant des personnes morales

Pour des motifs de systématique, la notion de données sensibles concernant des personnes morales ne figurera plus dans la disposition consacrée au traitement de données concernant des personnes morales, à savoir l’art. 57r AP-LOGA, mais dans une nouvelle disposition placée au début de la section portant sur la protection des données concernant des personnes morales.

L’art. 57qbis AP-LOGA dresse la liste exhaustive de certaines catégories qualifiées de données concernant des personnes morales (données sensibles) dont le traitement ou la communication sont en partie soumis à des exigences légales plus strictes que lorsqu’il s’agit de données « standard » (voir en particulier les art. 57r, al. 2, AP-LOGA et 57s, al. 2, LOGA). Cette liste de données sensibles concernant des personnes morales est retravaillée, tant sous l’aspect systématique que sur le fond, afin qu’elle se rapproche autant que possible de la définition légale des données personnelles sensibles qui figure à l’art. 5, let. c, LPD. La disposition prévue à l’art. 57sbis AP-LOGA relative aux bases légales sectorielles nécessite que la définition des notions apparaissant dans la LPD et la LOGA soient aussi cohérentes que possible (voir le commentaire relatif à l’art. 57sbis AP-LOGA). Toutes les catégories de données personnelles sen­

32 RS 172.010.1

sibles mentionnées à l’art. 5, let. c, LPD qui peuvent également s’appliquer à des données concernant des personnes morales ou qui n’exigent pas les conditions naturelles de l’homme (voir à ce sujet l’art. 53 CC) doivent par conséquent figurer dans la liste de l’art. 57qbis AP-LOGA. À l’inverse, les catégories de données spécifiques aux personnes physiques ou qui sont d’une importance pratique moindre pour les personnes morales ne sont pas reprises. Il s’agit des données sur la santé, la sphère intime ou l’origine raciale ou ethnique (art. 5, let. c, ch. 2, LPD), des données génétiques (art. 5, let. c, ch. 3, LPD), des données biométriques identifiant une personne physique de manière univoque (art. 5, let. c, ch. 4, LPD) et des données sur des mesures d’aide sociale (art. 5, let. c, ch. 6, LPD). Dans ce contexte, parmi les catégories de données mentionnées à l’art. 5, let. c, LPD, restent les « données sur des poursuites ou sanctions pénales et administratives », qui sont considérées comme des données sensibles concernant des personnes morales.

En revanche, les données relatives à des secrets professionnels, d’affaires ou de fabrication mentionnées jusqu’à présent à l’art. 57r, al. 2, let. b, LOGA sont retirées de la liste des données sensibles concernant des personnes morales. Cette suppression correspond au libellé de l’article avant l’entrée en vigueur de la nouvelle LPD, le 1er septembre 2023. Les règles applicables aux données « standard » concernant des personnes morales s’appliqueront aux organes fédéraux qui traitent et communiquent ce type de données. Ce retour à l’ancienne législation est principalement justifié par le fait que ce sont en premier lieu les dispositions pertinentes des actes législatifs spéciaux sur l’obligation de garder le secret (en particulier l’art. 62 de la loi fédérale du 15 décembre 2000 sur les produits thérapeutiques [LPTh] au sujet de la confidentialité des données33) et non pas les règles générales relatives à la protection des données ou de la personnalité qui doivent protéger les données relatives aux secrets professionnels, d’affaires ou de fabrication. A cela s’ajoute le fait qu’accorder une protection particulière aux secrets professionnels, d’affaires et de fabrication pour les personnes morales en l’absence d’une protection analogue pour les personnes physiques, conduit à une asymétrie : les personnes morales seraient privilégiées par rapport aux personnes physiques (p. ex. entreprises individuelles), et ce sans motif valable.

Art. 57r Traitement de données concernant des personnes morales

L’art. 57r, al. 1, LOGA est remplacé par une nouvelle disposition, et ses al. 2, 3 et 4 sont complétés. L’objectif est que le traitement de données concernant des personnes morales soit soumis à des exigences comparables à celles s’appliquant au traitement de données personnelles. L’art. 57r AP-LOGA reprend en grande partie l’art. 34 LPD.

Al. 1 : cette disposition prévoit que les organes fédéraux ne sont en droit de traiter des données concernant des personnes morales que s’il existe une base légale. Il s’agit d’une disposition équivalente à l’art. 34, al. 1, LPD. Le maintien de la base légale directement applicable et étant actuellement en vigueur (art. 57r, al. 1, LOGA) pourrait entraîner un conflit de normes avec le nouvel art. 57sbis AP-LOGA : pour traiter des

33 RS 812.21

données concernant des personnes morales, les organes fédéraux pourraient soit s’appuyer sur l’art. 57r, al. 1, LOGA, soit sur la disposition relative à la protection des données d’un acte législatif spécial, qui s’appliquera également aux données concernant des personnes morales conformément à l’art. 57sbis AP-LOGA. Pour éviter ce conflit, le nouvel art. 57r, al. 1, AP-LOGA ne constitue plus une base légale directement applicable, mais il exige l’existence d’une base légale sectorielle, de façon comparable à ce qui est prévu à l’art. 57s LOGA pour la communication de données concernant des personnes morales. Après cette modification, les organes fédéraux ne pourront plus s’appuyer sur l’art. 57r, al. 1, LOGA pour légitimer le traitement de données concernant des personnes morales, mais ils devront se fonder sur une base légale figurant dans un acte législatif spécial. La situation sera équivalente à celle en vigueur avant la révision totale de la LPD. Conformément à l’art. 57sbis AP-LOGA, il pourra s’agir d’une disposition sur le traitement des données personnelles. Il faudra potentiellement légiférer si les bases légales permettant le traitement de données concernant des personnes morales ont été adaptées dans les actes législatifs spéciaux suite à la révision totale de la LPD (ou qu’elles s’apprêtent à l’être) et qu’elles renvoient directement à l’art. 57r, al. 1, LOGA en vigueur pour permettre le traitement de données concernant des personnes morales. Si nécessaire, il faudra créer une nouvelle base légale autorisant le (futur) traitement de données concernant des personnes morales.

Al. 2 : la définition des données sensibles concernant des personnes morales figurant à l’art. 57r, al. 2, LOGA apparaîtra dans un article distinct, à savoir l’art. 57qbis AP- LOGA (voir le commentaire relatif à cet article). Le nouvel art. 57r, al. 2, AP-LOGA est inspiré de l’art. 34, al. 2, LPD. Il prévoit que les organes fédéraux ne peuvent traiter des données sensibles concernant des personnes morales que si une loi au sens formel le prévoit. Les cas précis, tels que ceux ancrés à l’art. 34, al. 2, let. b et c, LPD ne sont pas repris dans le nouvel art. 57r, al. 2, AP-LOGA. En effet, conformément à l’art. 57sbis AP-LOGA, les organes fédéraux pourront s’appuyer sur les dispositions spéciales relatives à la protection des données personnelles si des données concernant des personnes morales sont utilisées pour le profilage. Le cas où l’acte législatif spécial contient des dispositions particulières consacrées au traitement des données concernant des personnes morales reste réservé (en application de l’art. 57sbis AP-LOGA). Pour procéder à un profilage impliquant des données concernant des personnes morales et s’il n’existe pas de fondement juridique permettant le profilage basé sur des données personnelles, les autorités devront s’appuyer sur une base légale spécifique contenue dans une ordonnance.

Al. 3 : de manière analogue à l’art. 34, al. 3, LPD, l’art. 57r, al. 3, AP-LOGA prévoit que si certaines conditions sont réunies, une base légale contenue dans une loi au sens matériel suffit pour le traitement des données sensibles concernant des personnes morales. Les conditions énoncées aux let. a et b correspondent à celles de l’art. 34, al. 3, let. a et b, LPD : le traitement est indispensable à l’accomplissement d’une tâche définie dans une loi au sens formel (let. a) et la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée (let. b). Grâce à cette disposition, le traitement de données sensibles concernant des personnes morales bénéficie des mêmes assouplissements que le traitement de données personnelles. Le profilage n’est pas mentionné, puisqu’en application de l’art. 57r, al. 2, AP- LOGA (a contrario), aucune base légale dans une loi au sens formel n’est nécessaire.

Al. 4 : l’art. 57r, al. 4, AP-LOGA règle, de façon analogue à l’art. 34, al. 4, LPD, les cas dans lesquels des organes fédéraux peuvent exceptionnellement traiter des données concernant des personnes morales en l’absence de base légale, en dérogation aux art. 57r, al. 1 à 3, AP-LOGA. La liste d’exceptions est la même que celle de l’art. 34, al. 4, let. a à c, LPD. Le traitement de données concernant des personnes morales (y compris les données sensibles) est autorisé sans base légale (sans que l’organe fédéral s’appuie directement sur l’art. 57r, al. 1, LOGA ou qu’une disposition dans une norme spéciale le prévoie) lorsque :

• le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés (let. a) ;

• la personne morale concernée a consenti au traitement en l’espèce ou a rendu ses données accessibles à tout un chacun et ne s’est pas opposée expressément au traitement (let. b) ; ou lorsque

• le traitement est nécessaire pour protéger la vie ou l’intégrité corporelle d’un tiers et qu’il n’est pas possible d’obtenir le consentement de la personne morale concernée dans un délai raisonnable (let. c).

L’art. 57r, al. 4, let. a, AP-LOGA est légèrement reformulée dans sa version allemande par rapport au libellé de l’art. 34, al. 4, let. a, LPD afin de souligner le fait que des critères objectifs permettent de déterminer si les droits des personnes morales concernées ne sont pas menacés.

Art. 57rbis Traitement automatisé de données dans le cadre d’essais pilotes

L’art. 57rbis AP-LOGA permet au Conseil fédéral d’autoriser des essais pilotes dans le cadre desquels sont traitées des données sensibles concernant des personnes morales par voie d’ordonnance (et non pas dans une loi au sens formel, comme l’exigerait normalement l’art. 57r, al. 2, AP-LOGA pour les données sensibles concernant des personnes morales) (voir art. 57rbis, al. 1 et 3, AP-LOGA). Cette disposition institue une réglementation largement semblable à celle des art. 35 LPD et 32 à 35 OPDo, qui visent à faciliter les projets de numérisation sans renoncer aux principes de l’État de droit34. À l’inverse de ses pendants dans la LPD et l’OPDo, l’art. 57rbis AP-LOGA ne prévoit pas la consultation du Préposé fédéral à la protection des données et à la transparence (PFPDT) puisqu’il n’est pas compétent pour la surveillance des traitements de données concernant des personnes morales (voir à ce sujet le commentaire de l’art. 57sbis, al. 2, let. b, AP-LOGA).

L’art. 57rbis, al. 1, AP-LOGA énonce les conditions qui doivent être remplies pour que des essais pilotes puissent être menés. De manière analogue à l’art. 35, al. 1, LPD, les tâches qui nécessitent un tel traitement doivent être réglées dans une loi au sens formel déjà en vigueur (let. a). Par ailleurs, des mesures appropriées doivent être prises aux

34 SANDRA HUSI, OK DSG, art. 35 N 2 ss. (version du 19.08.2023) au sujet du traitement de données personnelles dans le cadre d’essais pilotes.

fins de réduire au minimum les atteintes aux droits fondamentaux de la personne morale concernée (let. b). Enfin, il faut qu’une phase d’essai soit indispensable avant l’entrée en vigueur d’une loi au sens formel, en particulier pour des raisons techniques (let. c). Les critères rendant un essai pilote indispensable sont énumérés à l’art. 57rbis, al. 2, AP-LOGA et correspondent à ceux énoncés à l’art. 32 OPDo.

Conformément à l’57rbis, al. 4, AP-LOGA, l’essai pilote doit être évalué au plus tard dans les deux ans après sa mise en œuvre. L’organe fédéral responsable doit présenter un rapport d’évaluation au Conseil fédéral, en lui proposant la poursuite ou l’interruption de l’essai. Dans l’ensemble, l’essai pilote pourra durer cinq ans au maximum. Si aucune loi au sens formel ne prévoit la base légale nécessaire au traitement des données, l’essai pilote doit être interrompu (art. 57rbis, al. 5, AP-LOGA ; voir aussi l’art. 35, al. 3 et 4, LPD concernant le traitement des données personnelles dans le cadre d’essais pilotes).

En ce qui concerne les essais pilotes impliquant le traitement de données « standard » concernant des personnes morales, voir le ch. 3.2.9 consacré à la loi fédérale du 17 mars 2023 sur l’utilisation de moyens électroniques pour l’exécution des tâches des autorités (LMETA)35.

Art. 57s, al. 1, 3, phrase introductive, let. bbis et bter, 4 phrase introductive, 5, première phrase et 6, let. a et b

Al. 1 : l’art. 57s, al. 1, AP-LOGA dispose que les organes fédéraux ne sont en droit de communiquer des données concernant des personnes morales que s’il existe une base légale. Cette disposition a été modifiée sur le plan linguistique pour correspondre à la formulation de l’art. 57r, al. 1, AP-LOGA ; il ne s’agit pas d’une modification d’ordre matériel.

Al. 3 phrase introductive, let. bbis et bter : L’art. 57s, al. 3, LOGA règle les cas dans lesquels la communication de données concernant des personnes morales est exceptionnellement autorisée en l’absence de base légale. Dans sa version allemande, la phrase introductive a été adaptée sur le plan linguistique pour correspondre à la formulation de l’art. 57r, al. 3, AP-LOGA ; il ne s’agit pas d’une modification d’ordre matériel. La liste est complétée par deux nouvelles exceptions ancrées aux let. bbis et bter afin de rapprocher cet article de son pendant dans la LPD, l’art. 36, al. 2, let. c et d. Il s’agit de la communication de données concernant des personnes morales (y compris les données sensibles) pour protéger la vie ou l’intégrité corporelle d’un tiers (let. bbis) et du cas où la personne morale a rendu ses données accessibles à tout un chacun (let. bter).

35 RS 172.019

Al. 4, phrase introductive : l’abréviation de la loi du 17 décembre 2004 sur la transparence (LTrans)36 a été ajoutée à l’art. 57s, al. 4, LOGA parce qu’elle est réutilisée à

Al. 5, première phrase : la modification ne concerne que la version allemande du texte. A la première phrase de l’al. 5, « Rechtsgrundlage » est remplacé par « gesetzliche Grundlage » afin de correspondre, sur le plan linguistique, à l’art 57s, al. 1, AP-LOGA. Il ne s’agit pas d’une modification d’ordre matériel.

Al. 6, let. a et b : les modifications apportées à l’art. 57s, al. 6, LOGA ne concernent que la version française et sont purement d’ordre rédactionnel : le libellé est modifié pour correspondre à celui de la disposition analogue de la LPD (art. 36, al. 6). A la let. a « intérêt légitime manifeste » est remplacé par « intérêt digne de protection manifeste » et à la let. b « des prescriptions particulières » est remplacé par « une disposition particulière ».

Art. 57sbis Relation avec la protection des données concernant des personnes morales dans un acte législatif spécial

Al. 1 (principe) : Selon l’art. 57sbis, al. 1, AP-LOGA, les dispositions sur la protection des données personnelles s’appliquent également aux données concernant des personnes morales si un acte législatif spécial contient des dispositions sur la protection des données personnelles, mais pas de dispositions sur la protection des données concernant des personnes morales. L’art. 57sbis, al. 1, AP-LOGA correspond sur le fond à la réglementation transitoire de l’art. 71 LPD, sans limites de validité.

Il porte sur toutes les dispositions régissant la protection des données dans les actes législatifs spéciaux (tant les lois que les ordonnances), sauf si l’acte en question contient déjà une réglementation au sujet de la protection des données concernant des personnes morales. Lors de la révision totale du droit de la protection des données, certaines dispositions de lois et d’ordonnances spéciales ont été modifiées dans le but de protéger les données concernant des personnes morales37. Ces adaptations consistent à faire une distinction nette entre la protection des données personnelles et la protection des données concernant des personnes morales dans les dispositions en question. Il ne doit pas nécessairement s’agir de dispositions qui contiennent l’expression de « données concernant des personnes morales », mais elles peuvent mentionner explicitement certaines catégories de données : par exemple, l’ordonnance du

36 RS 152.3 Le message LPD 2017 (voir. FF 2017 6565, p. 6722 s.) et le rapport explicatif du 31 août 2022 (ch. 7.2.; consultable à l’adresse unter www.ofj.admin.ch > État & Citoyen > Protection des données > Nouveau droit de la protection des données > 1. Étapes préalables > 2022 — Adoption des nouvelles ordonnances [OPDo et OCPD] > Rapport explicatif OPDo) contiennent une liste des lois spéciales modifiées dans le cadre de la révision totale du droit de la protection des données.

16 octobre 2024 sur le traitement des données dans le système d’information automatisé du service civil38 fait référence aux « données relatives aux établissements d’affectation » (art. 1, let. d) sans mentionner les « données concernant des personnes morales ». Si un acte législatif spécial contient déjà des dispositions sur la protection des données concernant des personnes morales, il est inutile de préciser que les dispositions sur la protection des données personnelles s’appliquent aux données concernant des personnes morales.

L’utilisation du terme d’« acte législatif spécial » sert à souligner que la disposition ne s’applique pas à la LPD et à ses ordonnances. Autrement dit, l’art. 57sbis, al. 1, AP- LOGA ne permet pas de rendre applicables la LPD et ses ordonnances aux données concernant des personnes morales. En effet, depuis que la révision totale de la LPD et de ses ordonnances est entrée en vigueur, la protection des données concernant des personnes morales n’entre plus dans son champ d’application (voir ch. 1.1.1). La révision de la LOGA ne changera pas ce principe.

De manière analogue à l’art. 71 LPD, l’art. 57sbis, al. 1, AP-LOGA porte sur toutes les dispositions qui règlent la protection des données personnelles par des organes fédéraux. En premier lieu, la réglementation porte sur toutes les bases légales pouvant être invoquées pour le traitement et la communication de données personnelles. L’objectif principal est que les organes fédéraux continuent de traiter et communiquer les données concernant des personnes morales comme elles le faisaient avant l’entrée en vigueur de la nouvelle LPD au titre de « données personnelles ». Voici un exemple : si une base légale permet à un organe fédéral de communiquer des données personnelles, l’art. 57sbis, al. 1, AP-LOGA lui permettra également de communiquer des données concernant des personnes morales. L’art. 57sbis, al. 1, AP-LOGA ne se limite toutefois pas aux dispositions qui habilitent un organe fédéral à traiter ou à communiquer des données personnelles : il porte sur toutes les dispositions relatives à la protection des données qui concernent les données personnelles. Il peut p. ex. s’agir du devoir d’information lors de la collecte de données (p. ex. art. 95 du code de procédure pénale [CPP]39 ou art. 18a de la loi fédérale du 22 mars 1974 sur le droit pénal administratif [DPA]40), d’exceptions au principe de la publicité des documents officiels qui contiennent des données personnelles (voir p. ex. art. 24e, al. 2, de la loi du 23 juin 2006 sur les installations à câbles [LICa]41 ou art. 52a, al. 2, de la loi du 20 mars 2009 sur le transport de voyageurs [LTV]42). La disposition de la LPD, et par conséquent celle de la LOGA, s’applique également aux articles qui utilisent les termes généraux de « protection des données » 38 RS 824.095 39 RS 312.0 40 RS 313.0 41 RS 743.01

42 RS 745.1

ou de « législation sur la protection des données » au lieu de « données personnelles » (voir p. ex. art. 8, al. 2, de la loi fédérale du 30 septembre 2011 sur l’encouragement et la coordination des hautes écoles43 ou art. 16b, al. 2, de la loi fédérale du 20 décembre 1957 sur les chemins de fer [LCdF]44). La protection des données dans des domaines spécifiques aura la même portée qu’avant l’entrée en vigueur de la LPD entièrement révisée sous réserve d’une réglementation spécifique de la protection des données concernant des personnes morales dans le droit sectoriel.

L’art. 57sbis, al. 1, AP-LOGA porte uniquement sur les dispositions qui règlent les relations entre les personnes privées et les organes fédéraux. Il ne s’applique notamment pas aux dispositions pénales qui ne concernent pas des organes fédéraux (p. ex. l’art. 179novies du code pénal [CP]45 ou l’art. 31, al. 2, de la loi fédérale du 23 décembre 2011 sur la protection extraprocédurale des témoins46). Cela signifie que ces dispositions continuent de s’appliquer uniquement aux données personnelles.

Al. 2 (exceptions) : l’al. 2 limite sous deux aspects la portée de l’art. 57sbis, al. 1, AP- LOGA :

Selon la let. a, l’art. 57sbis, al. 1, AP-LOGA ne s’applique pas aux dispositions spéciales qui concernent le niveau de protection adéquat des données pour la communication de données à l’étranger. Si ces dispositions spéciales s’appliquaient aux données concernant des personnes morales, les organes fédéraux devraient toujours s’assurer, lors du transfert de données, que tant les données personnelles que celles qui concernent des personnes morales bénéficient d’un niveau de protection adéquat à l’étranger. Or, de nombreux ordres juridiques étrangers ne prévoient pas de protection des données concernant les personnes morales (notamment la majorité des lois sur la protection des données des États de l’UE). Dans de telles circonstances, les organes fédéraux devraient exiger ou négocier des garanties spécifiques afin d’assurer la protection des données concernant des personnes morales, ce qui alourdirait inutilement l’échange de données transfrontière. Typiquement, les dispositions spéciales qui exigent un niveau de protection adéquat des données pour leur communication à l’étranger sont des dispositions qui renvoient aux art. 16 et 17 LPD (p. ex. art. 107a, al. 5, de la loi du 21 décembre 1948 sur l’aviation47, l’art. 100, al. 3, let. b, de la loi du 3 février 1995 sur

43 RS 414.20 44 RS 742.101 45 RS 311.0 46 RS 312.2

47 RS 748.0

l’armée48 ou l’art. 25, al. 4, de la loi du 17 juin 2011 sur l’encouragement des sports49). Il s’agit également de dispositions du droit sectoriel qui règlent la communication de données à l’étranger (p. ex. l’art. 11f de la loi du 20 mars 1981 sur l’entraide pénale internationale [EIMP]50, les art. 349c ss CP ou l’art. 61, al. 2, de la loi du 25 septembre 2015 sur le renseignement [LRens]51). Dans ces deux cas, l’art. 57sbis, al. 2, let. a, AP- LOGA permet d’assurer que les prescriptions spéciales ne s’appliquent qu’au niveau de la protection des données personnelles.

L’art. 57sbis, al. 2, let. a, AP-LOGA porte uniquement sur les dispositions spéciales qui concernent le niveau de protection adéquat des données pour leur communication à l’étranger. Les autres dispositions, qui posent des exigences plus élevées pour la communication de données à l’étranger (p. ex. dans le domaine de l’entraide judiciaire) continuent de s’appliquer tant aux données personnelles qu’aux données concernant des personnes morales.

Ce nouvel article n’a pas pour objectif d’octroyer de nouvelles compétences au Préposé fédéral à la protection des données et à la transparence (PFPDT) en matière de surveillance du traitement des données concernant des personnes morales. C’est la raison pour laquelle l’art. 57sbis, al. 2, let. b, AP-LOGA prévoit que les dispositions sectorielles qui concernent l’activité de surveillance du PFPDT ne sont valables que pour les données des personnes physiques. Il s’agit par exemple de dispositions relatives à la surveillance du traitement des données dans le cadre de la coopération Schengen/Dublin (p. ex. art. 111g de la loi du 16 décembre 2005 sur les étrangers et l’intégration52 ou art. 102d de la loi du 26 juin 1998 sur l’asile53) ou à l’information du PFPDT en cas de communication de données personnelles à l’étranger (p. ex. art. 349c, al. 5, CP), mais également de dispositions qui permettent à la personne concernée de demander au PFPDT d’examiner le report d’une réponse (p. ex. art. 63, al. 3 en rel. avec art. 64 LRens).

Al. 3 (délégation de compétences) : En matière de sécurité des données, l’art. 57sbis, al. 3, AP-LOGA établit que le Conseil fédéral règle l’applicabilité des dispositions relatives à la sécurité des données personnelles aux données concernant des personnes morales. Cela s’explique par le fait que différentes ordonnances liées à un domaine spécifique concrétisent les exigences en matière de sécurité des données. En revanche, les dispositions générales en matière de traitement des données concernant

48 RS 510.10 49 RS 415.0 50 RS 351.1

51 RS 121 52 RS 142.20

53 RS 142.31

des personnes morales qui figurent aux art. 57r ss LOGA ne règlent pas la question de la sécurité des données54. Afin que les dispositions sectorielles en matière de sécurité des données ne s’appliquent pas sans autre aux données concernant des personnes morales sur la base de l’art. 57sbis, al. 1, AP-LOGA, le Conseil fédéral est habilité à régler l’applicabilité de ces dispositions aux données concernant des personnes morales. Puisque les dispositions spéciales relatives à la sécurité des données se trouvent en général dans les ordonnances, la disposition d’exception à ce sujet doit être édictée au même niveau.

Art. 57ster Sous-traitance

La disposition consacrée à la sous-traitance autorise les organes fédéraux à transmettre des données concernant des personnes morales à un sous-traitant, et à lui confier le traitement, si certaines conditions sont réunies. La sous-traitance doit être différenciée du fait de communiquer des données à un tiers : il ne s’agit pas d’une communication au sens de la législation sur la protection des données, parce que la maîtrise des données reste entre les mains de l’organe fédéral responsable55.

La sous-traitance est une pratique courante : par exemple, la conservation de données dans le cloud peut, dans de nombreux cas, être qualifiée comme de la sous-traitance56. Toutefois, la LOGA ne comportait aucune disposition à ce sujet. La définition de la relation entre l’organe fédéral responsable et le sous-traitant établie à l’art. 57ster AP- LOGA correspond en grande partie à celle de l’art. 9 LPD.

Al.¹ : De manière similaire à la sous-traitance de données personnelles (art. 9, al. 1, LPD), les organes fédéraux pourront confier le traitement de données concernant des personnes morales à un sous-traitant pour autant qu’un contrat ou la loi le prévoie (art. 57ster, al. 1, phrase introductive, AP-LOGA). Pour ce faire, il faut que le sous-traitant effectue un traitement que l’organe fédéral responsable serait en droit d’effectuer lui-même (let. a) et qu’aucune obligation légale ou contractuelle de garder le secret n’interdise la sous-traitance (let. b). Le sous-traitant devra en particulier respecter les prescriptions spéciales qui s’appliquent aux organes fédéraux lorsqu’il s’agit de données concernant des personnes morales. L’art. 57ster, al. 1, AP-LOGA ne rend pas pour autant les dispositions de la LPD applicables aux données concernant des personnes

A ce sujet, voir la note de bas de page 59. 55 BRUNO BAERISWYL, SHK DSG, art. 9 N 10 au sujet de la sous-traitance de données personnelles Message LPD 2017, FF 2017 6565, p. 6651.

morales. C’est pour cette raison que l’art. 9, al. 2, LPD n’est pas repris. Ainsi, les dispositions de la LPD et de l’ordonnance du 31 août 2022 concernant la protection des données (OPDo)57 concernant la sécurité des données ne s’appliquent qu’aux données personnelles, mais pas aux données concernant des personnes morales58.

L’art. 57ster, al. 2 et 3, AP-LOGA concerne l’autorisation d’un sous-traitant de soustraiter à son tour et les motifs justificatifs de cette autorisation, qui correspondent à l’art. 9, al. 3 et 4, LPD. Diverses questions de mise en œuvre se posent au sujet de la forme de l’autorisation. Elles seront précisées dans une ordonnance, de manière équivalente à l’art. 7 OPDo.

Art. 57squater Proposition des documents aux Archives fédérales

Les prescriptions en matière d’archivage applicables aux données concernant des personnes morales sont les mêmes que celles qui s’appliquent aux données personnelles. Le nouvel art. 57squater AP-LOGA reprend, par analogie, l’art. 38 LPD. Il prévoit que les organes fédéraux doivent proposer aux Archives fédérales de reprendre toutes les données concernant des personnes morales dont ils n’ont plus besoin en permanence (al. 1). Les données que les Archives fédérales ont désignées comme n’ayant plus de valeur archivistique doivent être détruites par l’organe fédéral à moins qu’elles ne soient rendues anonymes ou ne doivent être conservées à titre de preuve, par mesure de sûreté ou afin de sauvegarder un intérêt digne de protection de la personne morale concernée (al. 2).

Art. 57squinquies Traitements à des fins ne se rapportant pas à des personnes

L’art. 39 LPD facilite le traitement des données personnelles à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique. Une disposition analogue est ajoutée, à l’art. 57squinquies AP-LOGA, afin que ces allégements puissent également s’appliquer aux traitements de données concernant des personnes morales à des fins ne se rapportant pas à des personnes. L’art. 57squinquies, al. 1, AP-LOGA énumère quatre conditions relatives à l’anonymisation

57 RS 235.11 La sécurité des données concernant des personnes morales est cependant garantie jusqu’à un certain point par la loi du 18 décembre 2020 sur la sécurité de l’information (LSI ; RS 128) et les ordonnances qui s’y rapportent, notamment l’ordonnance du 8 novembre 2023 sur la sécurité de l’information (OSI, RS 128.1). Bien que ces textes ne soient pas spécifiquement consacrés à la protection des données concernant des personnes morales, les mesures qu’ils prévoient peuvent y contribuer indirectement (p. ex. les principes de confidentialité, de disponibilité, d’intégrité et de traçabilité des informations fixés à l’art. 6 LSI), en particulier lorsque des mesures de protection sont prévues pour des documents qui contiennent des données concernant des personnes morales.

(let. a), à la communication de données sensibles concernant des personnes morales (let. b), à la communication à des tiers (let. c) et à la publication (let. d). Si ces conditions sont remplies, l’exigence d’une base légale pour la communication de données concernant des personnes morales (art. 57s, al. 1 et 2, LOGA) et pour le traitement de données sensibles concernant des personnes morales, d’une base légale au sens formel (art. 57r, al. 3, 2e phrase, AP-LOGA), est abandonnée (art. 57squinquies, al. 2, AP- LOGA)59.

Art. 57t Droit d’accès

Le droit d’accès est une composante essentielle du droit à l’autodétermination informationnelle au sens de l’art. 13, al. 2, Cst. Les personnes morales peuvent y recourir (voir ch. 1.1.3 et 1.2). Le droit d’accès permet aux personnes concernées par un traitement de données d’en vérifier la licéité et de faire valoir, le cas échéant, d’autres droits découlant de la protection des données tels que l’effacement ou la rectification des données qui les concernent60. Le droit d’accès garanti par la Constitution est fixé explicitement dans la loi, à l’art. 57t AP-LOGA.

L’art. 57t AP-LOGA est le pendant de l’art. 25 LPD consacré au droit d’accès des personnes physiques. Les spécificités des personnes morales exigent quelques modifications : ce nouvel article ne sera pas identique à l’art. 25, al. 3, LPD puisqu’il n’existe pas de données sur la santé des personnes morales.

L’art. 57t, al. 1, AP-LOGA octroie à toutes les personnes morales le droit de demander à l’organe fédéral responsable du traitement si des données les concernant sont traitées. Ce droit s’applique inconditionnellement et sans qu’il ne soit nécessaire d’apporter la preuve d’un intérêt (sous réserve de l’abus de droit [voir art. 57u, al. 1, let. c, AP- LOGA])61. Par ailleurs, il n’est pas possible de renoncer par avance au droit d’accès (art. 57t, al. 4, AP-LOGA).

L’art. 57t, al. 2, AP-LOGA concrétise, dans une clause générale les informations qui doivent être communiquées. Conformément à cette disposition, la personne morale doit recevoir toutes les informations nécessaires pour garantir que le traitement de données est transparent et pour qu’elle puisse exercer différentes voies de recours. La liste des informations qui doivent au minimum être communiquées, qui apparaît à l’art. 57t, al. 2, let. a à f, AP-LOGA correspond en grande partie à celle de l’art. 25, al. 2, let. a à g, LPD. Contrairement à ce que prévoit l’art. 25, al. 2, let. d, LPD, selon l’art. 57t, al. 2, let. d, AP-LOGA, il ne suffit pas de fournir les critères ayant permis de fixer la durée de

Voir BRUNO BAERISWYL, SHK DSG, art. 39 N 6 concernant le traitement de données personnelles à des fins ne se rapportant pas à des personnes. 60 Par exemple : BRUNO BAERISWYL, SHK DSG, remarques liminaires concernant les art. 25 à 29 N 2 ; MARTIN

STEIGER, OK DSG, art. 25 N 1 s. (version du 28.08.2023). 61 Voir RAINER J. SCHWEIZER / LEA STRIEGEL, SGK BV, art. 13 N 102.

conservation des données. L’organe fédéral doit communiquer la durée de conservation des données. Par ailleurs, seules les informations relatives à l’existence d’une décision individuelle automatisée ainsi qu’à la logique sur laquelle se base la décision (art. 25, al. 2, let. f, LPD) ne sont pas reprises à l’art. 57t, al. 2, AP-LOGA pour les personnes morales. À l’heure actuelle, les art. 57r ss LOGA ne contiennent aucune règle relative aux obligations des organes fédéraux et aux droits des personnes morales concernées en cas de décision individuelle automatisée. Enfin, selon l’art. 57t, al. 2, let. f, AP-LOGA, et à l’inverse de l’art. 25, al. 2, let. g, en rel. avec l’art. 19, al. 4, LPD, en cas de communication de données à l’étranger, il ne sera pas nécessaire de communiquer les garanties prévues ou l’application d’une exception.

Les al. 3, 5 et 6 de l’art. 57t AP-LOGA concernent différentes modalités de la communication d’informations. L’al. 6 habilite le Conseil fédéral à régler d’autres particularités du droit d’accès, notamment les exceptions à la gratuité (voir également ch. 2.2).

Art. 57u Restrictions au droit d’accès

Le droit d’accès des personnes morales n’est pas absolu. Restreignant ce droit, l’art. 57u AP-LOGA prévoit une réglementation largement similaire à celle de l’art. 26 LPD. Outre les dispositions légales en matière de maintien d’obligation de garder le secret (art. 57u, al. 1, let. a, AP-LOGA, qui, contrairement à l’art. 26, al. 1, let. a, LPD, ne renvoie pas directement aux secrets professionnels par manque de pertinence pratique), des intérêts publics prépondérants (art. 57u, al. 2, AP-LOGA) ou privés (art. 57u, al. 1, let. b, AP-LOGA) peuvent également s’opposer à la communication des renseignements. Par ailleurs, l’organe fédéral peut refuser, restreindre ou différer la communication de renseignements lorsque la demande d’accès est manifestement infondée notamment parce qu’elle poursuit un but contraire à la protection des données ou qu’elle est manifestement procédurière (art. 57u, al. 1, let. c, AP-LOGA). L’objectif est d’écarter les demandes de renseignements abusives62. Les motifs de refus figurant à l’art. 26, al. 2, let. a, et 3 LPD ne sont pas repris du fait qu’ils s’appliquent spécifiquement aux responsables du traitement privés et non pas à des organes fédéraux.

L’organe fédéral doit indiquer le motif pour lequel il refuse, restreint ou diffère la communication des informations (art. 57u, al. 3, AP-LOGA). La restriction au droit d’accès est rendue sous la forme d’une décision susceptible de recours (art. 5 PA) et les prescriptions du droit de la procédure administrative doivent être respectées63.

Art. 57v Prétentions et procédure

Comme les art. 57t et 57u AP-LOGA relatifs au droit d’accès, l’art. 57v AP-LOGA vise également à concrétiser le droit à l’autodétermination informationnelle au sens de l’art. 13, al. 2, Cst. (voir ch. 1.1.3).

62 MARTIN STEIGER, OK DSG, art. 26 N 13 (version du 28.08.2023) SANDRA HUSI, SHK DSG, art. 26 N 38

Correspondant en grande partie à l’art. 41 LPD, les al. 1 et 2 de l’art. 57v AP-LOGA reconnaissent différentes prétentions aux personnes morales concernées par un traitement, afin que ces dernières puissent s’opposer aux traitements illicites effectués par un organe fédéral64. Elles pourront exiger de l’organe fédéral responsable qu’il s’abstienne de procéder à un traitement illicite, qu’il en supprime les effets ou qu’il constate le caractère illicite du traitement (al. 1). En particulier, elles pourront demander qu’il rectifie, efface ou détruise les données et qu’il publie ou communique à des tiers sa décision à ce sujet (al. 2).

En ses al. 3 à 5, l’art. 57v AP-LOGA (comme les al. 3 à 5 de l’art. 41 LPD) prévoit diverses exceptions, notamment en matière de limitation du traitement, de la mention de son caractère litigieux et pour les fonds gérés par des institutions patrimoniales publiques.

Les personnes morales peuvent faire valoir les prétentions qui leur reviennent au sens de l’art. 57v AP-LOGA dans le cadre d’une procédure administrative régie par la PA (al. 6). L’organe fédéral se prononce sur l’octroi ou le rejet de ces prétentions dans une décision susceptible de recours au sens de l’art. 5 PA.

Art. 57w Procédure en cas de communication de documents officiels contenant des données concernant des personnes morales

L’art. 57w AP-LOGA règle la façon dont les personnes morales peuvent faire valoir les droits que leur confère l’art. 57v AP-LOGA dans le cadre d’une procédure destinée à obtenir l’accès à des documents officiels au sens de la LTrans. Cette disposition s’inspire de l’art. 42 LPD.

Art. 57x Relation avec les dispositions fédérales de procédure

Al. 1 : l’art. 57x, al. 1, AP-LOGA règle la relation des dispositions de l’AP-LOGA sur la protection des données concernant des personnes morales avec les dispositions fédérales de procédure. Il s’agit d’une disposition parallèle à l’art. 2, al. 3, LPD qui ne s’applique plus qu’aux données personnelles depuis que les données concernant des personnes morales ne font plus partie du champ d’application de la LPD. Un nouvel art. 57x, al. 1, AP-LOGA a été élaboré afin de garantir que la situation juridique soit la même pour les personnes morales que pour les personnes physiques. Il prévoit que la protection des données concernant des personnes morales dans le cadre de procédures sera régie par les dispositions fédérales de procédure. La réglementation s’applique à toutes les dispositions de l’AP-LOGA sur la protection des données concernant des personnes morales, hormis l’art. 57sbis AP-LOGA. Les règles fixées dans les dispositions fédérales de procédure qui se rapportent à la protection des données personnelles pourront également s’appliquer aux données concernant des personnes morales conformément à l’art. 57sbis AP-LOGA. Les procédures administratives de première instance sont exclues par l’art. 57x, al. 1, AP-LOGA. Ce sont les art. 57qbis à 57w AP- LOGA qui s’appliquent dans ces cas. L’art. 57x, al. 1, AP-LOGA vaut d’une part pour

64 MONIQUE STURNY, SHK DSG, art. 41 N 2

toutes les unités administratives qui entrent dans le champ d’application de la LOGA par exemple dans le domaine de l’entraide judiciaire. D’autre part, la disposition touche également les tribunaux fédéraux dont les dispositions de procédure prévoient une application par analogie de l’AP-LOGA. Le nouvel art. 57x, al. 1, AP-LOGA garantit que la protection des données concernant des personnes morales, en particulier leurs droits de procédure, sera régie par les dispositions de procédure pertinentes. Les dispositions de l’AP-LOGA relatives à la protection des données concernant des personnes morales ne s’appliquent pas, à l’exception de l’art. 57sbis AP-LOGA.

Al. 2 : l’al. 2 de l’art. 57x AP-LOGA est une disposition parallèle à l’al. 4 de l’art. 2 LPD. Il est intégré à l’AP-LOGA afin de garantir que les personnes morales soient dans la même situation juridique que les personnes physiques. Il permet d’assurer que l’exclusion des registres publics du champ d’application de la LOGA s’applique également aux données concernant des personnes morales.

3.2 Commentaire relatif à la modification d’autres lois fédérales (annexe)

3.2.1 Loi fédérale du 21 mars 1997 instituant des mesures visant au maintien

de la sûreté intérieure65

Art. 23a, al. 4

Cette disposition relative au droit d’accès des personnes morales et au droit de faire rectifier leurs données est complétée par un renvoi à l’AP-LOGA.

3.2.2 Loi fédérale du 25 septembre 2015 sur le renseignement66

Art. 63, al. 1 et 4

Un renvoi aux prescriptions de l’AP-LOGA relatives au droit d’accès des personnes morales est ajouté aux deux alinéas.

3.2.3 Loi du 18 décembre 2020 sur la sécurité de l’information (LSI)67

Art. 69, al. 2

Cette disposition ne s’adressant qu’aux personnes morales, le renvoi à la LPD en matière de restrictions à la communication de renseignements est remplacé par un renvoi à l’AP-LOGA.

65 RS 120 66 RS 121 67 RS 128

Art. 70 al. 2

Cette disposition est complétée par un renvoi à l’AP-LOGA pour ce qui est de la notion de données sensibles concernant des personnes morales.

Art. 75, al. 4

Conformément à l’art. 57sbis, al. 1, AP-LOGA, le devoir d’information au sens de l’art. 75, al. 4, 1re phrase, LSI s’applique également aux données concernant des personnes morales. Pour que le traitement de données concernant des personnes morales ne soit pas soumis à des règles plus strictes que celui de données concernant de personnes physiques, la réserve fixée à l’art. 20 LPD concernant la restriction du devoir d’information prévu à l’art. 75, al. 4, 2e phrase, LSI doit également s’appliquer aux données concernant des personnes morales. Cette précision est ajoutée dans une nouvelle phrase. En effet, la LOGA ne contient pas de disposition analogue à l’art. 20 LPD à laquelle l’art. 75, al. 4, LSI pourrait renvoyer.

3.2.4 Loi du 20 juin 2003 sur le système d’information commun aux domaines

des étrangers et de l’asile68

Art. 4, al. 2

Cette disposition est complétée par un renvoi à l’AP-LOGA pour ce qui est de la notion de données sensibles concernant des personnes morales.

Art. 6

Cette disposition relative au droit d’accès des personnes concernées et aux demandes de rectification est complétée par un renvoi aux dispositions de l’AP-LOGA relatives aux données concernant des personnes morales.

Art. 7, al. 2

Cette disposition est adaptée de manière à ce qu’elle s’applique tant aux données personnelles qu’aux données concernant des personnes morales. En conséquence, le renvoi à la LPD a été supprimé.

3.2.5 Loi du 22 juin 2001 sur les documents d’identité69

Art. 10

Cette disposition est complétée par un renvoi aux dispositions pertinentes de l’AP- LOGA relatives à la protection des données concernant des personnes morales par des organes fédéraux.

68 RS 142.51 69 RS 143.1

3.2.6 Loi fédérale du 26 juin 1998 sur l’archivage70

Art. 1, al. 1, let. b

Cette disposition est adaptée de manière à introduire l’abréviation de la LOGA, qui est réutilisée à l’art. 15. Il s’agit d’une modification d’ordre rédactionnel.

Art. 15, al. 1, 1re phrase

Cette disposition sur la communication de renseignements aux personnes concernées et leur droit d’accès est complétée par un renvoi aux dispositions de l’AP-LOGA relatives aux données des personnes morales. De plus, la disposition est légèrement adaptée sur le plan rédactionnel.

L’expression de « données personnelles » dans la loi sur l’archivage n’est pas adaptée. Dans les articles concernés (art. 11, 13, al. 3, et 14, al. 2), l’expression doit être comprise au sens de l’art. 5, let. a, LPD comme désignant les données des personnes physiques. Ainsi, l’article 57sbis AP-LOGA ne trouve pas application. Les données concernant des personnes morales sont protégées par les art. 9 et 12 de la loi sur l’archivage.

3.2.7 Loi du 17 décembre 2004 sur la transparence (LTrans)71

Art. 3, al. 2, 2e phrase

L’art. 3, al. 2, LTrans régit la coordination entre le droit, consacré de la LPD, des personnes de demander si des données les concernant sont traitées et le droit d’accès aux documents officiels ancré dans la LTrans72. Jusqu’à présent, seule la relation entre la LTrans et la LPD était réglée : dans ce contexte, l’accès aux documents officiels, qui contiennent des données personnelles concernant le demandeur est régi par la LPD. Il faut désormais coordonner le principe de la transparence avec le droit d’accès que les art. 57t s. AP-LOGA garantissent aux personnes morales. C’est dans ce contexte qu’une deuxième phrase vient compléter l’art. 3, al. 2 LTrans. Si une personne morale demande à consulter un document officiel qui contient des données la concernant, ce sont les art. 57t et 57u AP-LOGA qui s’appliquent. Cette primauté du droit d’accès au sens de la LOGA repose sur les mêmes motifs que la primauté du droit d’accès au sens de la LPD. Le droit d’une personne de demander si des données la concernant sont traitées n’est pas un droit d’accès général, mais il s’agit d’un moyen de recours individuel, en faveur de la personne (physique ou morale) concernée par un traitement.

70 RS 152.1 71 RS 152.3 Par exemple : CHRISTA STAMM-PFISTER, in: Gabor P. Blechta / David Vasella (éd.), Basler Kommentar zum Öffentlichkeitsgesetz, 4e éd., 2024 (« BSK BGÖ »), art. 3 N 30.

Il trouve son fondement dans le droit à l’autodétermination informationnelle et vise un autre objectif que le principe de la transparence ancré dans la LTrans73.

Art. 9, al. 2, 1re phrase

Cette disposition est adaptée de manière à intégrer l’abréviation de la LOGA, qui a été introduite à l’art. 3. Il s’agit d’une modification d’ordre purement rédactionnel.

3.2.8 Loi du 18 juin 2004 sur les publications officielles74

Art. 16b, al. 1

Cette disposition est complétée par un renvoi à l’AP-LOGA pour ce qui est de la notion de données sensibles concernant des personnes morales.

3.2.9 Loi fédérale du 17 mars 202375 sur l’utilisation de moyens électroniques

pour l’exécution des tâches des autorités (LMETA)

Art. 15, al. 1, let. g, et 3, let. a

La disposition sur le traitement de données automatisé dans le cadre d’essais pilotes (art. 35 LPD) s’applique aux données sensibles concernant des personnes physiques et aux traitements au sens de l’art. 34, al. 2, let. b et c LPD. Pour le traitement de données sensibles concernant des personnes morales, une disposition est introduite à l’art. 57rbis AP-LOGA (voir les explications au ch. 3.1).

L’art. 15 LMETA est également complété pour fournir une base légale pour les projets pilotes dans lesquels des données « standard » concernant des personnes morales sont utilisées. L’art. 10, al. 2, let. a LMETA fait déjà une distinction claire entre les données personnelles et les données concernant des personnes morales. Cette distinction est également introduite à l’art. 15, al. 1, let. g et al. 3, let. a, LMETA.

3.2.10 Loi fédérale du 17 juin 2005 sur le Tribunal fédéral (LTF)76

Art. 25b, titre et al. 1

Le renvoi aux dispositions de la LOGA est étendu à l’entier du chapitre 4 du titre 4 de celle-ci.

S’agissant des art. 57h à 57hter LOGA, les tribunaux fédéraux gèrent des systèmes de gestion des affaires, à l’instar de l’administration fédérale et des Services du Parlement.

Voir CHRISTA STAMM-PFISTER, BSK BGÖ, art. 3 N 31. 74 RS 170.512 75 RS 172.019

76 RS 173.110

Il est pertinent de soumettre les tribunaux aux mêmes dispositions. Il convient tout de même de rappeler que l’art. 57h LOGA fournit un fondement légal pour l’exploitation d’un système de gestion des affaires et que l’art. 57hbis LOGA précise en vue de quels buts le traitement de données personnelles et de données concernant des personnes morales dans un tel système est licite77. Cela signifie donc que ces articles ne constituent pas la base légale pour le traitement de données personnelles et de données concernant des personnes morales. Le traitement doit toujours se fonder sur une base légale spéciale.

Le renvoi doit également couvrir les art. 57qbis à 57x AP-LOGA dans la mesure où les tribunaux fédéraux traitent des données concernant des personnes morales dans le cadre de leurs activités. Lorsque le traitement s’effectue dans le cadre de procédures, celui-ci est régi par les dispositions fédérales de procédure conformément à l’art. 57x AP-LOGA.

3.2.11 Loi fédérale du 17 juin 2005 sur le Tribunal administratif fédéral78

Art. 27b, titre et al. 1

Voir les remarques formulées pour l’art. 25b, al. 1, LTF au ch. 3.2.10.

3.2.12 Loi fédérale du 20 mars 2009 sur le Tribunal fédéral des brevets79

Art. 5a, titre et al. 1

Voir les remarques formulées pour l’art. 25b, al. 1, LTF au ch. 3.2.10.

3.2.13 Loi fédérale du 19 mars 2010 sur l’organisation des autorités pénales de

la Confédération80

Art. 18a

Le Ministère public de la Confédération traite à la fois des données personnelles et des données concernant des personnes morales dans le cadre de ses activités. Il convient donc de créer une base légale semblable à celle dont disposent les tribunaux fédéraux. Pour plus de détails, voir le commentaire relatif à l’art. 25b, al. 1, LTF au ch. 3.2.10.

77 Voir message LPD 2017, FF 2017 6565, p. 6731. 78 RS 173.32 79 RS 173.41

80 RS 173.71

Art. 62a, titre et al. 1

Voir le commentaire relatif à l’art. 25b, al. 1, LTF au ch. 3.2.10.

3.2.14 Loi fédérale du 25 septembre 2020 sur la protection des données

(LPD)81

Art. 71

La disposition transitoire de l’art. 71 LPD est reprise, sans limite temporelle, dans l’AP- LOGA (voir le commentaire relatif à l’art. 57sbis AP-LOGA, ch. 3.1). Cette disposition de la LPD peut donc être abrogée.

3.2.15 Code pénal82

Art. 349a, phrase introductive

Cette disposition est complétée par un renvoi aux dispositions pertinentes de l’AP- LOGA relatives aux exigences auxquelles est soumise la base légale permettant la communication de données concernant des personnes morales.

3.2.16 Loi fédérale du 13 juin 2008 sur les systèmes d’information de police de

la Confédération83

Art. 7, al. 1

Un renvoi aux prescriptions de l’AP-LOGA relatives au droit d’accès des personnes morales est ajouté à cette disposition.

3.2.17 Loi du 4 octobre 1991 sur les EPF84

Art. 36a, al. 1, 1re phrase

Une modification terminologique doit être effectuée dans les versions allemande et italienne de cette disposition.

Art. 36b, al. 1 et 5, 2e phrase

Une modification terminologique doit être effectuée dans les versions allemande et italienne de ces dispositions.

81 RS 235.1 82 RS 311.0 83 RS 361

84 RS 414.110

Art. 36c

Une modification terminologique doit être effectuée à l’al. 1 dans les versions allemande et italienne.

L’al. 2 est complété par un renvoi aux dispositions pertinentes de l’AP-LOGA en matière de protection des données concernant des personnes morales par des organes fédéraux.

Art. 36f

Une modification terminologique doit être effectuée à l’al. 1 dans les versions allemande et italienne.

Le renvoi à la LPD est mis à jour : l’abréviation introduite à l’art. 36c, al. 2, est reprise à l’art. 36f, al. 2. Par ailleurs, la disposition est complétée par un renvoi aux dispositions pertinentes de l’AP-LOGA relatives à la protection des données concernant des personnes morales par des organes fédéraux.

3.2.18 Loi du 9 octobre 1992 sur la statistique fédérale (LSF)85

Art. 7, al. 2, 2e phrase

D’une part, l’art. 7, al. 2, 2e phrase LSF est adapté afin d’introduire l’abréviation de la LPD qui sera réutilisée à l’art. 10, al. 5, LSF. D’autre part, de façon analogue à la réglementation concernant les données personnelles, il est prévu que les données concernant des personnes morales extraites de banques de données cantonales et communales qui sont soumises à une obligation légale de garder le secret ne peuvent pas être communiquées au sens de l’art. 57squinquies AP-LOGA concernant les traitements à des fins ne se rapportant pas à des personnes.

Art. 10, al. 5, 2e phrase

La modification est d’ordre purement rédactionnel : l’abréviation LPD, introduite à l’art. 7 LSF est reprise dans cette disposition. Par ailleurs, un renvoi à l’art. 57squinquies AP-LOGA, consacré aux traitements à des fins ne se rapportant pas à des personnes, vient compléter l’art. 10, al. 5, 2e phrase, LSF.

Art. 16, al. 1, 2e phrase

Cette disposition est complétée par un renvoi aux dispositions de la LOGA qui concernent les traitements aux fins de recherche, de planification et de statistique.

85 RS 431.01

3.2.19 Loi du 5 octobre 2007 sur la géoinformation86

Art. 11, al. 1, 1re phrase

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédéraux. Sa formulation subit également de légères modifications. L’expression « à toutes les géodonnées de base » est remplacée par « aux géodonnées de base ». Cette modification vise à clarifier que la LPD ou la LOGA s’appliquent pour le traitement de géodonnées de base dès lors qu’elles contiennent des données personnelles ou des données concernant des personnes morales. A des fins d’uniformisation des règles applicables aux géodonnées de base relevant du droit fédéral, les dispositions pertinentes de la LPD et de la LOGA s’appliquent quel que ce soit le responsable du traitement (administration fédérale, cantonale, communale ou acteur du secteur privé agissant dans le cadre d’un mandat conféré par les autorités)87.

3.2.20 Loi fédérale du 3 octobre 200888 sur les systèmes d’information de l’armée et du DDPS (LSIA)

Art. 1, al. 1, phrase introductive, et 3

La LSIA fait une distinction nette entre les données concernant des personnes physiques et morales. L’art. 57sbis AP-LOGA ne trouve donc pas application (voir le commentaire à ce sujet, ch. 3.1). La terminologie doit par conséquent être harmonisée dans l’ensemble de l’acte. Comme la notion de données personnelles ne s’applique plus qu’aux données concernant des personnes physiques depuis l’entrée en vigueur de la nouvelle LPD, l’expression « données personnelles concernant des personnes physiques et morales » est remplacée par « données personnelles et […] données concernant des personnes morales » à l’art. 1, al. 1, LSIA. Une autre modification terminologique a également dû être effectuée dans les versions allemande et italienne.

L’art. 1, al. 3, LSIA est complété par un renvoi aux dispositions pertinentes de l’AP- LOGA en matière de protection des données concernant des personnes morales par des organes fédéraux. La disposition est légèrement adaptée sur le plan rédactionnel.

Art. 2a, al. 1, let. b et c

Comme à l’art. 1, al. 1, LSIA, une modification terminologique dans les versions allemande et italienne doit être effectuée à l’art. 2a, al. 1, let. b et c LSIA.

86 RS 510.62 Voir le message LPD 2017, FF 2017 6565, p. 6749. 88 RS 510.91

Art. 6, let. b

Cette disposition est complétée par un renvoi à la LOGA.

Art. 186, al. 1, let. b, et 3

Une modification terminologique doit être effectuée dans les versions allemande et italienne de l’art. 186, al. 1, let. b, LSIA. Un renvoi à la LOGA est ajouté à l’art. 186, al. 3, LSIA.

3.2.21 Loi du 28 juin 1967 sur le Contrôle des finances89

Art. 10, al. 3, 1re et 2e phrases

Lors de la révision totale de la LPD, la mention « y inclus des données personnelles » a été supprimée des textes allemand et italien. Cette suppression n’avait pas lieu d’être. La réintroduction de cette mention s’impose pour aligner les versions allemande et italienne de la disposition sur la version correcte, à savoir celle de langue française.

De plus, une autre modification terminologique doit être effectuée dans les versions allemande et italienne de cette disposition.

3.2.22 Loi du 18 mars 2005 sur les douanes90

Art. 38, al. 2

Les décisions individuelles automatisées peuvent concerner des personnes morales ou se baser sur le traitement des données qui les concernent. A des fins de clarté juridique, il convient donc de biffer le renvoi à l’art. 21 LPD, qui ne s’applique qu’aux données personnelles, soit aux personnes physiques. En effet, la LPD étant une loicadre, l’art. 21 LPD s’applique de toute manière aux données personnelles, même sans renvoi explicite. Les art. 57qbis ss LOGA ne contiennent en revanche pas de réglementation relative aux obligations des organes fédéraux et aux droits des personnes morales concernées en cas de décisions individuelles automatisées auxquelles il serait possible de renvoyer (voir le commentaire relatif à l’art. 57t LOGA au ch. 3.1).

89 RS 614 90 RS 631.0

Art. 76, al. 3, phrase introductive

Du profilage et du profilage à haut risque peuvent être effectués sur la base de données concernant des personnes morales. Le renvoi, à l’art. 76, al. 3 de la loi sur la TVA, à la « loi fédérale du 25 septembre 2020 sur la protection des données », qui ne vaut plus que pour les données concernant des personnes physiques, est supprimé.

3.2.24 Loi fédérale du 21 mars 1969 sur l’imposition du tabac92

Art. 18, al. 4

Le renvoi à l’art. 21 LPD concernant les décisions individuelles automatisées est supprimé (voir le commentaire au ch. 3.2.22).

3.2.25 Loi du 6 octobre 2006 sur l’imposition de la bière93

Art. 17, al. 3, 2e phrase

Le renvoi à l’art. 21 LPD concernant les décisions individuelles automatisées est supprimé (voir le commentaire au ch. 3.2.22).

3.2.26 Loi du 21 juin 1996 sur l’imposition des huiles minérales94

Art. 21, al. 2bis

Le renvoi à l’art. 21 LPD concernant les décisions individuelles automatisées est supprimé (voir le commentaire au ch. 3.2.22).

3.2.27 Loi du 23 mars 2007 sur l’approvisionnement en électricité (LApEl)95

Art. 17c, al. 1, 2e phrase

La mention de l’application par analogie de la LPD aux traitements de données concernant des personnes morales est supprimée de l’art. 17c, al. 1, 2e phrase, LApEl et remplacée par un renvoi aux dispositions de l’AP-LOGA relatives à la protection des données concernant des personnes morales par des organes fédéraux.

91 RS 641.20 92 RS 641.31 93 RS 641.411 94 RS 641.61

95 RS 734.7

Art. 24

L’abréviation de la LOGA, introduite à l’art. 17c, al. 1, LApEl est reprise à l’art. 24 de cette loi. Il s’agit d’une modification d’ordre purement rédactionnel.

3.2.28 Loi fédérale du 20 décembre 1957 sur les chemins de fer (LCdF)96

Art. 9o, al. 2, 3e phrase

L’abréviation LOGA est ajoutée dans la version italienne de cette disposition.

Art. 16a, al. 1, 1re phrase

L’art. 16a, al. 1, 1re phrase, LCdF est complété par un renvoi aux dispositions pertinentes de l’AP-LOGA consacrées à la protection des données concernant des personnes morales par des organes fédéraux. Aucune modification n’est nécessaire à l’art. 16b, al. 2, LCdF parce que le terme de « législation sur la protection des données » fait également référence aux dispositions de la LOGA en matière de protection des données.

3.2.29 Loi du 20 mars 2009 sur le transport de voyageurs97

Art. 54, al. 1, 1re phrase

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédéraux.

3.2.30 Loi fédérale du 18 mars 2016 sur la surveillance de la correspondance

par poste et télécommunication98

Art. 4

Une modification terminologique doit être effectuée dans les versions allemande et italienne de cette disposition.

Art. 10, al. 1, let. b, 2, 1re phrase, et 2ter

Un renvoi aux prescriptions de l’AP-LOGA relatives au droit d’accès des personnes morales est ajouté à l’art. 10, al. 1, let. b, 2, 1re phrase, et 2ter.

96 RS 742.101 97 RS 745.1 98 RS 780.1

3.2.31 Loi du 30 avril 1997 sur les télécommunications99

Art. 13b, al. 1, 2e phrase, 2, phrase introductive, et 4, 1re phrase

Une modification terminologique doit être effectuée dans les versions allemande et italienne de ces dispositions.

3.2.32 Loi fédérale du 24 mars 2006100 sur la radio et la télévision

Art. 88, al. 2

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédéraux.

3.2.33 Loi du 1er octobre 2021 sur les produits du tabac101

Art. 39

Les termes d’« informations » et d’« informations concernant des personnes morales » sont remplacés dans le titre et aux al. 1 et 2 par « données concernant des personnes morales ».

3.2.34 Loi du 17102 juin 2005 sur le travail au noir (LTN)

Art. 17a, al. 3

La LTN comporte en son art. 17a une disposition relative au traitement de données concernant des personnes morales. Un nouvel alinéa qui renvoie aux dispositions pertinentes de l’AP-LOGA vient compléter cet article.

99 RS 784.10 100 RS 784.40

101 RS 818.32 102 RS 822.41

3.2.35 Loi fédérale du 25 juin 1982 sur la prévoyance professionnelle vieillesse, survivants et invalidité103

Art. 85a, al. 1, phrase introductive

Une modification terminologique doit être effectuée dans les versions allemande et italienne de cette disposition.

3.2.36 Loi fédérale du 20 mars 1981104 sur l’assurance-accidents

Art. 96, al. 2

Les renvois à la LPD concernant le profilage et le profilage à haut risque et à l’art. 21 LPD pour les décisions individuelles automatisées sont supprimés (voir les commentaires aux ch. 3.2.22 et 3.2.23).

3.2.37 Loi fédérale du 19 juin 1992105 sur l’assurance militaire

Art. 94a, al. 2

Les renvois à la LPD concernant le profilage et le profilage à haut risque et à l’art. 21 LPD pour les décisions individuelles automatisées sont supprimés (voir les commentaires aux ch. 3.2.22 et 3.2.23).

3.2.38 Loi du 25 septembre 2020 sur les précurseurs de substances explosibles106

Art. 23, al. 1

Cette disposition est complétée par un renvoi aux dispositions pertinentes de l’AP- LOGA pour ce qui est du droit d’accès et du droit de faire rectifier les données incorrectes, dont disposent les personnes morales.

103 RS 831.40

104 RS 832.20 105 RS 833.1

106 RS 941.42

3.2.39 Loi du 3 octobre 2003 sur la Banque nationale107

Art. 16, al. 4bis, 2e phrase, et 5

Deux renvois à l’AP-LOGA sont ajoutés à cette disposition : dans la deuxième phrase de l’al. 4bis, il est écrit que l’Office fédéral de la statistique n’est pas autorisé à transmettre les données concernant des personnes morales qui lui ont été communiquées par la Banque nationale sans son consentement, nonobstant le nouvel art. 57squinquies AP-LOGA. Un renvoi aux art. 57qbis à 57x AP-LOGA est ajouté à l’al. 5, pour le traitement de données concernant les personnes morales.

3.2.40 Loi du 10 octobre 1997 sur le blanchiment d’argent (LBA)108

La LBA distinguera clairement les données des personnes physiques des données concernant des personnes morales.

Art. 29, al. 1, 2e phrase, 2, 2e phrase, 2bis, 2e et 3e phrases

A l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA, il est désormais précisé que les renseignements communiqués peuvent également contenir des données personnelles sensibles et des données sensibles concernant des personnes morales. Cet ajout clarifie les informations qui peuvent être échangées entre les autorités.

A l’art. 29, al. 2, 2e phrase, LBA, les données sensibles concernant des personnes morales sont désormais mentionnées en plus des données personnelles sensibles. Art.

Voir les remarques formulées pour l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA au ch. Fehler! Verweisquelle konnte nicht gefunden werden..

Art. 30, al. 1, phrase introductive

Le terme de « données concernant des personnes morales » est ajouté à cette disposition. Concernant la mention des données personnelles sensibles et des données sensibles concernant des personnes morales, voir les remarques formulées pour l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA au ch. Fehler! Verweisquelle konnte nicht gefunden werden..

107 RS 951.11 108 RS 955.0

Art. 31a

Le renvoi à la loi fédérale du 7 octobre 1994 sur les Offices centraux de police criminelle de la Confédération (LOC)109 pour le traitement de données est supprimé dans la mesure où les dispositions relatives à la protection des données sont intégrées dans la LBA (art. 35, al. 1) ; il n’est donc plus nécessaire de faire référence à cette loi.

Titre précédant l’art. 33

Les données concernant des personnes morales sont expressément mentionnées dans le titre précédant l’art. 33 LBA.

Art. 33

Cette disposition est complétée par un renvoi aux articles de l’AP-LOGA consacrés à la protection des données concernant des personnes morales par des organes fédéraux. A des fins de clarté, la disposition est scindée en deux alinéas distincts.

Art. 34, al. 2 et 3

De manière analogue à l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA (ch. Fehler! Verweisquelle konnte nicht gefunden werden.), l’art. 34, al. 2, précise désormais que les intermédiaires financiers peuvent communiquer aux entités mentionnées des données personnelles et des données concernant des personnes morales (y compris des données sensibles).

L’art. 34, al. 3, LBA renvoie à l’AP-LOGA pour le droit d’accès des personnes morales.

Art. 35, al. 1 et 2, 2e phrase

L’art. 35 al. 1, 1re phrase, LBA règle le traitement de données par le bureau de communication et renvoie, dans sa version actuelle, à la LOC. Dans le cadre de l’adaptation de la LOC et du transfert de diverses dispositions de protection des données dans la loi fédérale du 13 juin 2008 sur les systèmes d’information de police de la Confédération (LSIP)110, il est justifié de consolider les bases légales pour le traitement de données personnelles et de données concernant des personnes morales dans la LBA. Sur le fond, rien ne change. Le bureau de communication était déjà habilité à traiter des données sensibles, qu’il s’agisse de personnes physiques ou morales.

De plus, le renvoi aux dispositions de la LSIP relatives au droit d’accès est corrigé et se réfère à toutes les dispositions applicables concernées (art. 7 ss).

109 RS 360

110 RS 361

L’art. 35, al. 2, 2e phrase, LBA prévoit désormais que les informations accessibles via une procédure d'appel peuvent inclure des données personnelles sensibles et des données sensibles concernant des personnes morales (voir les remarques formulées pour l’art. 29, al. 1, 2e phrase, et 2bis, 2e et 3e phrases, LBA au ch. Fehler! Verweisquelle konnte nicht gefunden werden.).

4 Conséquences

4.1 Conséquences pour la Confédération

Les art. 57qbis ss AP-LOGA permettent de s’assurer que les organes fédéraux continuent de disposer de bases légales leur permettant de traiter et de communiquer des données concernant des personnes morales. La situation juridique restera inchangée. Il n’est en principe pas nécessaire d’adapter la législation pour les procédures de traitement et de communication de données qui sont déjà en cours. Les traitements de données concernant des personnes morales qui se fondent directement sur la version encore en vigueur de l’art. 57r, al. 1, LOGA demeurent réservés. Pour les nouveaux traitements et communications, la nécessité de légiférer devra être examinée au cas par cas, dans le respect des prescriptions générales de la LOGA.

Par ailleurs, les art. 57t à 57w AP-LOGA octroient aux personnes morales divers droits en matière de protection des données vis-à-vis des organes fédéraux. Dans la mesure où il s’agit de droits constitutionnels dont les personnes morales disposent nécessairement, leur concrétisation dans la LOGA n’entraîne pas de nouvelles obligations pour les organes fédéraux.

Une disposition de coordination est inscrite à l’art. 57x AP-LOGA pour les traitements de données s’inscrivant dans le cadre de procédures de droit fédéral et pour l’accès aux registres publics relatifs aux rapports de droit privé.

4.2 Conséquences pour les cantons et les communes

Le projet ne concerne pas les cantons et les communes. Les art. 57qbis ss AP-LOGA s’adressent uniquement aux organes fédéraux (voir ch. 2.1.1).

4.3 Conséquences économiques

Les art. 57qbis ss AP-LOGA visent à garantir que la situation juridique en vigueur reste applicable pour les organes fédéraux qui traitent ou communiquent des données concernant des personnes morales. Aucun nouveau moyen de traiter ou de communiquer des données ne sera introduit. Le statut juridique des personnes morales demeure inchangé. En revanche, la concrétisation dans la loi des droits d’accès et du droit d’exiger la rectification ou l’effacement de données des personnes morales clarifie et renforce leur position vis-à-vis des organes fédéraux.

Puisque l’avant-projet ne règle pas les relations entre personnes privées, c’est-à-dire les cas de traitement de données concernant des personnes morales par d’autres personnes morales, il n’aura pas d’autres conséquences pour les entreprises et les milieux économiques.

4.4 Conséquences sanitaires et sociales

Les nouveaux articles 57t à 57w AP-LOGA renforcent la position juridique des personnes morales et contribuent à l’amélioration de la protection des données (voir ch. 2.1.1).

5 Aspects juridiques

5.1 Constitutionnalité

Comme le Conseil fédéral l’avait expliqué dans son message relatif à la révision totale de la LPD111, la Constitution ne contient aucune disposition habilitant expressément la Confédération à légiférer. L’art. 13, al. 2, Cst. consacre, par contre, le droit de toute personne à l’autodétermination informationnelle. Il s’agit là d’un droit fondamental qui n’attribue pas de compétence nouvelle à la Confédération. En vertu de l’art. 35, al. 2, Cst., les personnes qui assument des tâches de l’État sont tenues de respecter les droits fondamentaux et de contribuer à leur réalisation. Ce projet législatif contribue en ce sens à la réalisation de l’art. 13, al. 2, Cst. Les art. 57t à 57w AP-LOGA concrétisent les garanties inscrites à cet article pour les personnes morales. Par ailleurs, le législateur peut invoquer comme base constitutionnelle pour l’édiction de dispositions de protection des données de droit public pour les autorités et les services de l’administration la compétence implicite qui lui revient en matière d’organisation des autorités fédérales et de procédure. Les compétences fédérales qui découlent de l’existence et de la nature même de la Confédération et pour lesquelles l’attribution explicite d’une compétence législative fait défaut se fondent sur l’art. 173, al. 2, Cst., qui est mentionné dans le préambule de la LOGA, selon la pratique actuelle.

La révision de la LOGA permet d’assurer que les organes fédéraux continuent de disposer de bases légales suffisantes au sens de l’art. 36, al. 1, Cst. leur permettant de traiter et de communiquer des données concernant des personnes morales. Ainsi, les données concernant des personnes morales au sens de l’art. 57sbis AP-LOGA pourront toujours être traitées et communiquées s’il existe une base légale permettant le traitement ou la communication de données personnelles, même si les bases légales sectorielles ne mettent pas directement en évidence le fait que les données concernant des personnes morales sont également traitées. Cela correspond toutefois à la réglementation en vigueur.

111 Voir message LPD 2017, FF 2017 6565, p. 6797 s.

5.2 Compatibilité avec les engagements internationaux de la Suisse

Les obligations internationales de la Suisse en matière de protection des données ne lui imposent pas de protéger les données concernant les personnes morales. Il n’y a donc pas d’obligations internationales à respecter.

5.3 Forme de l’acte à adopter

L’avant-projet du Conseil fédéral comprend une modification de la LOGA et, en annexe, les adaptations nécessaires dans d’autres lois fédérales.

5.4 Frein aux dépenses

Le projet ne contient pas de dispositions relatives aux subventions et ne prévoit ni crédits d’engagement ni plafonds de dépenses.

5.5 Délégation de compétences législatives

Les dispositions suivantes de l’AP-LOGA contiennent une délégation de compétences législatives au Conseil fédéral :

• Art. 57sbis, al. 3, AP-LOGA : le Conseil fédéral règle l’applicabilité des dispositions relatives à la sécurité des données personnelles aux données concernant des personnes morales.

• Art. 57t, al. 6, AP-LOGA : le Conseil fédéral est habilité à régler les modalités du droit d’accès, la responsabilité en cas de traitement commun, les délais et les exceptions à la gratuité.

5.6 Protection des données

Les art. 57qbis à 57x AP-LOGA sont des dispositions de protection des données transversales qui règlent le traitement de données concernant des personnes morales par les organes fédéraux. En particulier, elles précisent la protection constitutionnelle des données concernant des personnes morales (voir ch. 1.1.3, 1.2 et 2.1.1). La protection des données des personnes physiques n’est pas concernée par les modifications de la LOGA. C’est pourquoi il n’est pas nécessaire de procéder à une analyse d’impact relative à la protection des données personnelles au sens de l’art. 22 LPD.