Acte en vigueur, consolidée au 17/12/2016.
Version consolidée au 17/12/2016 (consolidation EUR-Lex 02000D0518-20161217, la plus récente en français ; acte d'origine du 26/07/2000).
(1) Conformément à la directive 95/46/CE, les États membres sont tenus de veiller à ce que les transferts de données à caractère personnel vers un pays tiers n'aient lieu que si le pays tiers en question assure un niveau de protection adéquat et si les lois des États membres qui mettent en oeuvre d'autres dispositions de la directive sont respectées avant le transfert.
(2) La Commission peut constater qu'un pays tiers assure un niveau de protection adéquat. Dans ce sens, des données à caractère personnel peuvent être transférées à partir des États membres, sans qu'aucune garantie supplémentaire ne soit nécessaire.
(3) Conformément à la directive 95/46/CE, le niveau de protection des données à caractère personnel doit être apprécié au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts de données et compte tenu de conditions déterminées. Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué par ladite directive a donné des indications sur ces évaluations(2).
(4) Compte tenu des différentes approches retenues par les pays tiers en matière de protection des données à caractère personnel, il convient de faire en sorte que l'évaluation du caractère adéquat de cette protection et l'application de toute décision au titre de l'article 25, paragraphe 6, de la directive 95/46/CE ne créent pas de discrimination arbitraire ou injustifiée à l'égard de pays tiers où des conditions similaires existent ou entre les pays tiers, et ne constituent pas une entrave déguisée aux échanges eu égard aux engagements internationaux actuels de la Communauté.
(5) La Confédération suisse dispose, en matière de protection des données à caractère personnel, de normes produisant des effets juridiques contraignants tant au niveau fédéral que cantonal.
(6) La constitution fédérale, modifiée par votation populaire le 18 avril 1999 et entrée en vigueur le 1er janvier 2000, donne à toute personne le droit au respect de sa vie privée et, en particulier, le droit d'être protégée contre l'emploi abusif des données qui la concernent. Sur la base de la constitution antérieure, qui ne contenait pas une telle disposition, le Tribunal fédéral a développé une jurisprudence fixant les principes généraux applicables aux traitements de données à caractère personnel en ce qui concerne notamment la qualité des données traitées, le droit d'accès des personnes concernées et le droit de demander la rectification ou la destruction des données. Ces principes sont contraignants tant au niveau fédéral que cantonal.
(7) La loi suisse sur la protection des données du 19 juin 1992 est entrée en vigueur le 1er juillet 1993. Les modalités d'application de certaines dispositions de la loi en ce qui concerne notamment le droit d'accès des personnes concernées, la déclaration des traitements à l'autorité de contrôle indépendante ou la communication de données à l'étranger, ont été fixées par ordonnances du Conseil fédéral. La loi s'applique aux traitements de données à caractère personnel effectués par les organes fédéraux et par l'ensemble du secteur privé, ainsi qu'aux traitements effectués par les organes cantonaux en exécution du droit fédéral, dans la mesure où ces traitements ne font pas l'objet de dispositions cantonales sur la protection des données.
(8) La plupart des cantons ont adopté une législation en matière de protection des données pour les domaines relevant de leurs compétences, lesquels concernent en particulier les hôpitaux publics, l'éducation, les impôts cantonaux directs et la police. Dans les autres cantons, les traitements sont régis par des actes de nature réglementaire ou par les principes de la jurisprudence cantonale. Quels que soient la source et le contenu des dispositions cantonales ou même en l'absence de dispositions cantonales, les principes constitutionnels doivent être respectés par les cantons. Dans leur domaine de compétence, les autorités cantonales peuvent être amenées à transférer des données à caractère personnel à des administrations publiques d'États limitrophes, principalement à des fins d'assistance mutuelle pour la sauvegarde d'intérêts publics importants ou, s'agissant des hôpitaux publics, en vue de protéger les intérêts essentiels des personnes concernées.
(9) Le 2 octobre 1997, la Suisse a ratifié la convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement des données à caractère personnel (convention n° 108)(3) qui vise à renforcer la protection des données à caractère personnel et à assurer la libre circulation entre les parties contractantes, sous réserve de dérogations que celles-ci peuvent prévoir. Sans être directement applicable, la convention fixe des engagements internationaux aussi bien à l'égard de la fédération que des cantons. Ces engagements concernent non seulement les principes fondamentaux de la protection auxquels chaque partie contractante doit donner effet dans son droit interne, mais aussi les mécanismes de coopération entre les parties contractantes. En particulier, les autorités suisses compétentes doivent fournir aux autorités des autres parties contractantes qui en font la demande toute information sur le droit et la pratique administrative en matière de protection des données, ainsi que les informations concernant un traitement automatisé déterminé. Elles doivent également prêter assistance à toute personne résidant à l'étranger pour l'exercice de son droit d'être informée de l'existence de traitements de données la concernant, d'accéder aux données la concernant, d'en demander la rectification ou la destruction, et de disposer de voies de recours.
(10) Les normes applicables en Suisse englobent tous les principes fondamentaux nécessaires pour constater un niveau de protection adéquat des personnes physiques, même si des dérogations et des limitations sont également prévues pour la sauvegarde d'intérêts publics importants. L'application de ces normes est garantie par les recours juridictionnels et par le contrôle indépendant exercé par les autorités, notamment par le préposé fédéral doté de pouvoirs d'investigation et d'intervention. Par ailleurs, les dispositions du droit suisse relatives à la responsabilité civile s'appliquent en cas de traitement illicite portant préjudice aux personnes concernées.
(11) Dans un souci de transparence et en vue de permettre aux autorités compétentes des États membres d'assurer la protection des individus en ce qui concerne le traitement des données à caractère personnel, il est nécessaire d'indiquer dans la présente décision dans quelles circonstances exceptionnelles la suspension de certains flux de données peut être justifiée, même lorsque le niveau de protection assuré a été jugé adéquat.
(12) Le groupe de protection des personnes à l'égard du traitement des données à caractère personnel institué à l'article 29 de la directive 95/46/CE a rendu un avis(4) sur le niveau de protection assuré par la législation suisse; il en a été tenu compte lors de l'élaboration de la présente décision.
(13) Les mesures prises par la présente décision sont conformes à l'avis du comité institué à l'article 31 de la directive 95/46/CE, A ARRÊTÉ LA PRÉSENTE DÉCISION:
Aux fins de l'article 25, paragraphe 2, de la directive 95/46/CE, la Suisse est considérée comme offrant un niveau de protection adéquat des données à caractère personnel transférées à partir de la Communauté pour toutes les activités entrant dans le champ d'application de ladite directive.
La présente décision concerne uniquement le caractère adéquat de la protection assurée en Suisse en vue de répondre aux exigences de l'article 25, paragraphe 1, de la directive 95/46/CE et n'affecte pas l'application d'autres conditions ou restrictions transposant d'autres dispositions de ladite directive qui se rapportent au traitement de données à caractère personnel dans les États membres.
Lorsque les autorités compétentes des États membres exercent leurs pouvoirs conformément à l'article 28, paragraphe 3, de la directive 95/46/CE pour suspendre ou interdire définitivement les flux de données vers la Suisse afin de protéger les individus à l'égard du traitement de leurs données à caractère personnel, les États membres concernés en informent sans délai la Commission, qui transmet l'information aux autres États membres.
1. La Commission suit, de manière permanente, les évolutions de l'ordre juridique suisse susceptibles d'entraver le fonctionnement de la présente décision, notamment les évolutions concernant l'accès des autorités publiques aux données à caractère personnel, afin d'évaluer si la Suisse continue d'assurer un niveau de protection adéquat des données à caractère personnel.
2. Les États membres et la Commission s'informent mutuellement des cas dans lesquels les mesures prises par les autorités suisses chargées de veiller au respect des normes de protection ne suffisent pas à assurer ce respect.
3. Les États membres et la Commission s'informent mutuellement de tout élément indiquant que des interférences des autorités publiques suisses responsables de la sécurité nationale, de l'application de la loi ou d'autres intérêts publics avec le droit de l'individu à la protection de ses données à caractère personnel vont au-delà de ce qui est strictement nécessaire, ou qu'il n'existe pas de protection juridictionnelle effective contre des interférences de cette nature.
4. Si des éléments révèlent qu'un niveau de protection adéquat n'est plus assuré, y compris dans les situations visées aux paragraphes 2 et 3 du présent article, la Commission en informe l'autorité suisse compétente et, si nécessaire, présente un projet des mesures à prendre conformément à la procédure visée à l'article 31, paragraphe 2, de la directive 95/46/CE en vue d'annuler ou de suspendre la présente décision ou d'en limiter la portée.
1. La présente décision peut être adaptée à tout moment à la lumière de l'expérience tirée de son application ou en cas de modification de la législation suisse.
La Commission évalue, sur la base des informations disponibles, la mise en œuvre de la présente décision trois ans après sa notification aux États membres et communique au comité institué à l'article 31 de la directive 95/46/CE toute constatation pertinente, et notamment tout élément susceptible d'avoir une incidence sur l'évaluation faite à l'article 1er de la présente décision du niveau de protection adéquat assuré en Suisse au sens de l'article 25 de la directive 95/46/CE et tout élément montrant que la présente décision est appliquée de façon discriminatoire.
2. La Commission présente, si nécessaire, un projet des mesures à prendre conformément à la procédure visée à l'article 31 de la directive 95/46/CE.
Les États membres prennent toutes les mesures nécessaires pour se conformer à la présente décision au plus tard quatre-vingt-dix jours après la date de sa notification aux États membres.
Les États membres sont destinataires de la présente décision.