Loi fédérale
sur la protection des données personnelles
dans le cadre de l’application de l’acquis de Schengen
dans le domaine pénal¹*
(Loi sur la protection des données Schengen, LPDS)

¹ La présente loi règle le traite­ment de don­nées per­son­nelles ef­fec­tué par les or­ganes fédéraux à des fins de préven­tion, d’élu­cid­a­tion et de pour­suites d’in­frac­tions ou d’ex­écu­tion de sanc­tions pénales, y com­pris à des fins de pro­tec­tion contre les men­aces pour la sé­cur­ité pu­blique et de préven­tion de tell­es men­aces:

a.

dans le cadre de l’ap­plic­a­tion de l’ac­quis de Schen­gen;

b.

dans le cadre de l’ap­plic­a­tion d’ac­cords in­ter­na­tionaux con­clus avec l’Uni­on euro­péenne ou avec des Etats qui sont liés à la Suisse par l’un des ac­cords d’asso­ci­ation à Schen­gen (Etats Schen­gen) et qui ren­voi­ent à la dir­ect­ive (UE) 2016/680 pour ce qui est de la pro­tec­tion des don­nées.

² Les ac­cords d’as­so­ci­ation à Schen­gen sont men­tion­nés en an­nexe.

¹ La présente loi ne s’ap­plique pas aux droits des per­sonnes con­cernées dans le cadre de procé­dures pendantes devant des tribunaux fédéraux ou dans le cadre de procé­dures pendantes ré­gies par le code de procé­dure pénale⁵ ou par la loi du 20 mars 1981 sur l’en­traide pénale in­ter­na­tionale⁶; ceux-ci sont ré­gis par le droit de procé­dure ap­plic­able.

² A dé­faut de dis­pos­i­tion spé­ciale prévue par la présente loi, la loi fédérale du 19 juin 1992 sur la pro­tec­tion des don­nées (LPD)⁷ s’ap­plique; l’ap­plic­ab­il­ité d’autres lois fédérales est réser­vée.

¹ On en­tend par:

a.

don­nées sens­ibles:

1.

les don­nées sur les opin­ions ou les activ­ités re­li­gieuses, philo­sophiques ou poli­tiques,

2.

les don­nées sur la santé, la sphère in­time ou l’ori­gine ra­ciale ou eth­nique,

3.

les don­nées génétiques,

4.

les don­nées bio­métriques iden­ti­fi­ant une per­sonne physique de façon unique,

5.

les don­nées sur des mesur­es d’aide so­ciale,

6.

les don­nées sur des pour­suites ou sanc­tions pénales et ad­min­is­trat­ives;

b.

pro­fil­age: toute forme de traite­ment auto­mat­isé de don­nées per­son­nelles con­sist­ant à util­iser ces don­nées pour évalu­er cer­tains as­pects per­son­nels rela­tifs à une per­sonne physique, not­am­ment pour ana­lys­er ou pré­dire des élé­ments con­cernant le ren­dement au trav­ail, la situ­ation économique, la santé, les préfé­rences per­son­nelles, les in­térêts, la fia­bil­ité, le com­porte­ment, la loc­al­isa­tion ou les dé­place­ments de cette per­sonne;

c.

vi­ol­a­tion de la sé­cur­ité des don­nées: toute vi­ol­a­tion de la sé­cur­ité, sans égard au fait qu’elle soit in­ten­tion­nelle ou il­li­cite, en­traîn­ant la perte de don­nées per­son­nelles, leur modi­fic­a­tion, leur ef­face­ment ou leur de­struc­tion, leur di­vul­ga­tion ou un ac­cès non autor­isés à ces don­nées;

d.

dé­cision in­di­vidu­elle auto­mat­isée: toute dé­cision prise ex­clus­ive­ment sur la base d’un traite­ment de don­nées per­son­nelles auto­mat­isé, y com­pris le pro­fil­age, et qui a des ef­fets jur­idiques sur la per­sonne con­cernée ou qui l’af­fecte de man­ière sig­ni­fic­at­ive;

e.

sous-trait­ant: la per­sonne privée ou l’or­gane fédéral qui traite des don­nées per­son­nelles pour le compte de l’or­gane fédéral re­spons­able.

² Au de­meur­ant, les défin­i­tions de l’art. 3 LPD⁸ s’ap­pli­quent.

¹ Tout traite­ment de don­nées per­son­nelles doit être li­cite.

² Il doit être ef­fec­tué con­formé­ment aux prin­cipes de la bonne foi et de la pro­por­tion­nal­ité.

³ Les don­nées per­son­nelles ne peuvent être col­lectées que pour des fi­nal­ités déter­minées et re­con­naiss­ables pour la per­sonne con­cernée et doivent être trai­tées ultérieure­ment de man­ière compa­tible avec ces fi­nal­ités.

⁴ Elles sont détru­ites ou an­onymisées dès qu’elles ne sont plus né­ces­saires au re­gard des fi­nal­ités du traite­ment.

⁵ Ce­lui qui traite des don­nées per­son­nelles doit s’as­surer qu’elles sont ex­act­es. Il prend toute mesure ap­pro­priée per­met­tant de rec­ti­fier, d’ef­facer ou de détru­ire les don­nées in­ex­act­es ou in­com­plètes au re­gard des fi­nal­ités pour lesquelles elles sont col­lectées ou traitées.

¹ Les or­ganes fédéraux sont tenus de mettre en place, dès la con­cep­tion du traite­ment, des mesur­es tech­niques et or­gan­isa­tion­nelles afin que ce­lui-ci re­specte les pre­scrip­tions de pro­tec­tion des don­nées et en par­ticuli­er les prin­cipes fixés à l’art. 4.

² Les mesur­es tech­niques et or­gan­isa­tion­nelles doivent être ap­pro­priées au re­gard not­am­ment de l’état de la tech­nique, du type de traite­ment, de son éten­due, ain­si que du risque que le traite­ment des don­nées en ques­tion présente pour les droits fon­da­men­taux des per­sonnes con­cer­nées.

³ Les or­ganes fédéraux sont tenus, par le bi­ais de préréglages appro­priés, de garantir que le traite­ment soit lim­ité au min­im­um re­quis par la fi­nal­ité pour­suivie.

¹ Les or­ganes fédéraux ne sont en droit de traiter des don­nées per­son­nelles que s’il ex­iste une base lé­gale.

² Une base lé­gale fixée dans une loi au sens formel est né­ces­saire lor­squ’il s’agit:

a.

du traite­ment de don­nées sen­sibles;

b.

du traite­ment de pro­fils de la per­son­nal­ité;

c.

d’un pro­fil­age;

d.

d’un mode de traite­ment de don­nées per­son­nelles sus­cept­ible de port­er grave­ment at­teinte aux droits fon­da­men­taux de la per­sonne con­cernée.

³ En dérog­a­tion aux al. 1 et 2, les or­ganes fédéraux peuvent traiter des don­nées per­son­nelles si l’une des con­di­tions sui­vantes est re­m­plie:

a.

le traite­ment de don­nées per­son­nelles est né­ces­saire pour protéger la vie ou l’in­té­grité cor­porelle de la per­sonne con­cernée ou d’un tiers;

b.

la per­sonne con­cernée a rendu ses don­nées per­son­nelles ac­cess­ibles à tout un chacun et ne s’est pas op­posée ex­pressé­ment au traite­ment.

¹ Les or­ganes fédéraux ne sont en droit de com­mu­niquer des don­nées per­son­nelles que si une base lé­gale au sens de l’art. 6, al. 1 et 2 le pré­voit.

² En dérog­a­tion à l’al. 1, les or­ganes fédéraux peuvent, dans un cas d’es­pèce, com­mu­niquer des don­nées per­son­nelles si l’une des con­di­tions suivantes est rem­plie:

a.

la com­mu­nic­a­tion des don­nées est in­dis­pens­able à l’ac­com­p­lisse­ment des tâches lé­gales de l’or­gane fédéral re­spon­sable ou du des­tinataire;

b.

la com­mu­nic­a­tion de don­nées per­son­nelles est né­ces­saire pour protéger la vie ou l’in­té­grité cor­porelle de la per­sonne con­cernée ou d’un tiers;

c.

la per­sonne con­cernée a rendu ses don­nées per­son­nelles ac­cess­ibles à tout un chacun et ne s’est pas op­posée ex­pressé­ment à la com­mu­nic­a­tion.

³ L’art. 19, al. 1^bis à 4, LPD⁹ s’ap­plique au de­meur­ant.

¹ La com­mu­nic­a­tion de don­nées per­son­nelles aux autor­ités com­pétentes des Etats Schen­gen ne doit pas être sou­mise à des règles de pro­tec­tion des don­nées per­son­nelles plus strict­es que celles pré­vues pour la com­mu­nic­a­tion aux autor­ités pénales suisses.

² La com­mu­nic­a­tion de don­nées per­son­nelles à un Etat tiers ou à un or­gan­isme in­ter­na­tion­al est ré­gie par les dis­pos­i­tions spé­ciales des lois fédérales ap­plic­ables.

¹ Il in­combe à l’or­gane fédéral re­spons­able de pour­voir à la pro­tec­tion des don­nées per­son­nelles qu’il traite ou fait traiter dans l’ac­com­p­lisse­ment de ses tâches.

² Lor­squ’un or­gane fédéral traite des don­nées per­son­nelles con­jointe­ment avec d’autres or­ganes fédéraux, avec des or­ganes can­tonaux ou avec des per­sonnes privées, le Con­seil fédéral règle les pro­cé­dures de con­trôle et les re­sponsab­il­ités en matière de pro­tec­tion des don­nées.

¹ Un traite­ment de don­nées per­son­nelles peut être con­fié à un sous-trait­ant pour autant que les con­di­tions de l’art. 10aLPD¹⁰ soi­ent re­m­plies.

² Le sous-trait­ant ne peut lui-même sous-traiter un traite­ment à un tiers qu’avec l’autor­isa­tion préal­able écrite de l’or­gane fédéral.

¹ L’or­gane fédéral in­forme la per­sonne con­cernée de toute dé­cision in­di­vidu­elle auto­mat­isée (art. 3, al. 1, let. d) prise à son égard; il qual­i­fie cette dé­cision comme telle.

² Si la per­sonne con­cernée le de­mande, l’or­gane fédéral lui donne la pos­sib­il­ité de faire valoir son point de vue. La per­sonne con­cernée peut ex­i­ger que la procé­dure ap­pli­quée lui soit com­mu­niquée et que la dé­cision soit re­vue par une per­sonne physique.

³ L’al. 2 ne s’ap­plique pas lor­sque la per­sonne con­cernée dis­pose d’une voie de droit contre la dé­cision.

¹ Les or­ganes fédéraux et les sous-trai­tants tiennent un re­gistre des activ­ités de traite­ment.

² Les re­gis­tres des or­ganes fédéraux con­tiennent au moins les in­dic­a­tions sui­vantes:

a.

le nom de l’or­gane fédéral;

b.

la fi­nal­ité du traite­ment;

c.

une de­scrip­tion des catégor­ies des per­sonnes con­cernées et des catégor­ies des don­nées per­son­nelles traitées;

d.

les catégor­ies des des­tinataires;

e.

la durée de con­ser­va­tion des don­nées per­son­nelles ou, si cela n’est pas pos­sible, les critères pour déter­miner la durée de con­ser­va­tion;

f.

dans la mesure du pos­sible, une des­crip­tion générale des mesur­es vis­ant à garantir la sé­cur­ité des don­nées au sens de l’art. 7 LPD¹¹;

g.

l’Etat tiers ou l’or­gan­isme in­ter­na­tion­al auquel des don­nées per­son­nelles sont com­mu­niquées ain­si que les garanties de pro­tec­tion des don­nées per­son­nelles prévues.

³ Le re­gistre du sous-trait­ant con­tient des in­dic­a­tions con­cernant l’iden­tité du sous-trait­ant et de l’or­gane fédéral, les catégor­ies de traite­ments ef­fec­tués pour le compte de ce­lui-ci ain­si que les in­dica­tions prévues à l’al. 2, let. f.

¹ Lor­sque le traite­ment en­visagé est sus­cept­ible d’en­traîn­er un risque élevé pour les droits fon­da­men­taux de la per­sonne con­cernée, l’or­gane fédéral procède au préal­able à une ana­lyse d’im­pact re­l­at­ive à la pro­tec­tion des don­nées per­son­nelles. S’il en­vis­age d’ef­fec­tuer plusieurs opéra­tions de traite­ments semblables, il peut ét­ab­lir une ana­lyse d’im­pact com­mune.

² L’ex­ist­ence d’un risque élevé dépend, en par­ticuli­er lors de l’util­isa­tion de nou­velles tech­no­lo­gies, de la nature, de l’éten­due, des cir­con­stances et de la fi­nal­ité du trai­tement. Un tel risque ex­iste not­am­ment dans les cas suivants:

a.

le traite­ment de don­nées sens­ibles ou de pro­fils de la per­son­nal­ité à grande échelle;

b.

le pro­fil­age.

³ L’ana­lyse d’im­pact con­tient une des­crip­tion du traite­ment en­visagé, une éva­lu­ation des risques pour les droits fonda­men­taux de la per­sonne con­cernée, ain­si que les mesur­es prévues pour protéger ces droits fon­da­men­taux.

¹ L’or­gane fédéral con­sulte le Pré­posé fédéral à la pro­tec­tion des don­nées et à la trans­par­ence (pré­posé) préal­able­ment au traite­ment lor­sque l’ana­lyse d’im­pact rela­tive à la pro­tec­tion des don­nées révèle que le traite­ment présen­terait un risque élevé pour les droits fon­da­men­taux de la per­sonne con­cernée si l’or­gane fédéral ne pren­ait pas de mesur­es pour at­ténuer ce risque.

² Le pré­posé com­mu­nique à l’or­gane fédéral ses ob­jec­tions con­cernant le trai­tement en­visagé dans un délai de deux mois. Ce délai peut être pro­longé d’un mois, lor­squ’il s’agit d’un traite­ment de don­nées com­plexe.

³ Si le pré­posé a des ob­jec­tions con­cer­nant le traite­ment en­visagé, il pro­pose à l’or­gane fédéral des mesur­es appro­priées.

¹ L’or­gane fédéral an­nonce dans les meil­leurs délais au pré­posé les cas de vi­ola­tion de la sé­cur­ité des don­nées en­traîn­ant vraisemblable­ment un risque élevé pour les droits fon­da­men­taux de la per­sonne con­cernée.

² L’an­nonce doit au moins in­diquer la nature de la vi­ol­a­tion de la sé­cur­ité des don­nées, ses con­séquences et les me­sures prises ou en­visagées pour y re­médi­er.

³ Le sous-trait­ant an­nonce dans les meil­leurs délais à l’or­gane fédéral tout cas de vi­ol­a­tion de la sé­cur­ité des don­nées.

⁴ L’or­gane fédéral in­forme la per­sonne con­cernée lor­sque cela est né­ces­saire à sa pro­tec­tion ou lor­sque le pré­posé l’ex­ige.

⁵ Il peut re­streindre l’in­form­a­tion de la per­sonne con­cernée, la différer ou y ren­on­cer, dans les cas suivants:

a.

les in­térêts pré­pondérants d’un tiers l’ex­i­gent;

b.

un in­térêt pub­lic pré­pondérant, en par­ticuli­er le main­tien de la sûreté in­térieure ou ex­térieure de la Suisse, l’ex­ige;

c.

l’in­form­a­tion de la per­sonne con­cernée est sus­cept­ible de com­pro­mettre une en­quête, une in­struc­tion ou une procé­dure ad­min­is­trat­ive ou ju­di­ci­aire;

d.

le devoir d’in­form­er est im­possible à re­specter ou né­ces­site des ef­forts dispro­por­tion­nés;

e.

l’in­form­a­tion de la per­sonne con­cernée est garantie de man­ière équi­val­ente par une com­mu­nic­a­tion pub­lique.

¹ Les or­ganes fédéraux désignent un con­seiller à la pro­tec­tion des don­nées. Ils peuvent désign­er un con­seiller com­mun.

² Le con­seiller à la pro­tec­tion des don­nées doit re­m­p­lir les con­di­tions suivantes:

a.

il dis­pose des con­nais­sances profes­sion­nelles né­ces­saires;

b.

il n’ex­erce pas d’activ­ités in­com­pat­ibles avec ses tâches de con­seiller à la pro­tec­tion des don­nées.

³ Le con­seiller à la pro­tec­tion des don­nées ex­erce not­am­ment les tâches suivantes:

a.

il con­seille les or­ganes fédéraux;

b.

il promeut l’in­form­a­tion et la form­a­tion des col­lab­or­at­eurs;

c.

il con­court à l’ap­plic­a­tion des pre­scrip­tions re­l­at­ives à la pro­tec­tion des don­nées et pro­pose des mesur­es s’il ap­par­aît que des pre­scrip­tions re­l­at­ives à la pro­tec­tion des don­nées ont été vi­ol­ées.

¹ Le droit d’ac­cès de la per­sonne con­cer­née est régi par l’art. 8 LPD¹². En outre, l’or­gane fédéral com­mu­nique à la per­sonne con­cernée:

a.

les in­form­a­tions qui lui sont né­ces­saires pour qu’elle puisse faire valoir ses droits en vertu de la présente loi;

b.

des in­form­a­tions con­cernant la durée de con­ser­va­tion des don­nées per­son­nelles ou, si cela n’est pas pos­sible, les critères pour déter­miner cette durée.

² Les dis­pos­i­tions spé­ciales d’autres lois fédérales sont réser­vées.

¹ La re­stric­tion du droit d’ac­cès est ré­gie par l’art. 9, al. 1 à 3 et 5, LPD¹³. En outre, l’or­gane fédéral peut re­fuser, re­streindre ou différer la com­mu­nic­a­tion des ren­sei­gne­ments lor­sque la de­mande d’ac­cès est mani­festement in­fondée ou procédu­rière.

² Les dis­pos­i­tions spé­ciales d’autres lois fédérales sont réser­vées.

¹ Quiconque a un in­térêt lé­git­ime peut ex­i­ger de l’or­gane fédéral re­spons­able:

a.

qu’il s’ab­s­tienne de procéder à un trai­tement il­li­cite;

b.

qu’il supprime les ef­fets d’un traite­ment il­li­cite;

c.

qu’il con­state le ca­ra­ctère il­li­cite d’un traite­ment.

² Le de­mandeur peut en par­ticuli­er ex­i­ger que l’or­gane fédéral:

a.

rec­ti­fie les don­nées per­son­nelles, les ef­face ou les détru­ise;

b.

pub­lie ou com­mu­nique à des tiers sa dé­cision con­cernant not­am­ment la rec­tific­a­tion, l’ef­face­ment ou la de­struc­tion des don­nées, l’op­pos­i­tion à une com­mu­nic­a­tion selon l’art. 20 LPD¹⁴ ou la men­tion du ca­ra­ctère li­ti­gieux des don­nées per­son­nelles prévue à l’al. 4.

³ Au lieu d’ef­facer ou de détru­ire les don­nées per­son­nelles, l’or­gane fédéral lim­ite le traite­ment dans les cas suivants:

a.

l’ex­actitude des don­nées est con­testée par la per­sonne con­cernée et leur ex­ac­titude ou in­ex­actitude ne peut pas être ét­ablie;

b.

des in­térêts pré­pondérants d’un tiers l’ex­i­gent;

c.

un in­térêt pub­lic pré­pondérant, en parti­culi­er la sûreté in­térieure ou ex­térieure de la Suisse, l’ex­ige;

d.

l’ef­face­ment ou la de­struc­tion des don­nées est sus­cept­ible de com­pro­mettre une en­quête, une in­struc­tion ou une pro­cé­dure ad­min­is­trat­ive ou ju­di­ci­aire.

⁴ Si l’ex­actitude ou l’in­ex­actitude d’une don­née per­son­nelle ne peut pas être ét­ablie, il ajoute à la don­née la men­tion de son ca­ra­ctère li­ti­gieux.

⁵ La procé­dure est ré­gie par la loi fédérale du 20 décembre 1968 sur la procé­dure ad­min­is­trat­ive (PA)¹⁵. Les ex­cep­tions pré­vues aux art. 2 et 3 de ladite loi ne sont pas ap­plic­ables.

⁶ Les dis­pos­i­tions spé­ciales d’autres lois fédérales sont réser­vées.

Tant que l’ac­cès à des doc­u­ments of­fi­ciels con­ten­ant des don­nées per­son­nelles fait l’ob­jet d’une procé­dure au sens de la loi du 17 décembre 2004 sur la transpa­rence¹⁶, la per­sonne con­cernée peut, dans le cadre de cette procé­dure, faire valoir les droits que lui con­fère l’art. 19 de la présente loi par rap­port aux doc­u­ments qui sont l’ob­jet de la procé­dure d’ac­cès.

¹ Le pré­posé est char­gé de sur­veiller l’ap­plic­a­tion des dis­pos­i­tions fédé­rales re­l­at­ives à la pro­tec­tion des don­nées.

² Il ne peut ex­er­cer aucune sur­veil­lance sur:

a.

les tribunaux fédéraux;

b.

le Min­istère pub­lic de la Con­fédéra­tion en ce qui con­cerne le traite­ment de don­nées per­son­nelles dans le cadre de pro­cé­dures pénales;

c.

les autor­ités fédérales en ce qui con­cerne le traite­ment de don­nées per­son­nelles dans le cadre de procé­dures d’en­traide ju­di­ci­aire in­ter­na­tionale en matière pénale.

¹ Le pré­posé ouvre d’of­fice ou sur dénon­ci­ation une en­quête contre l’or­gane fédéral ou le sous-trait­ant si des in­dices font penser qu’un traite­ment de don­nées per­son­nelles pour­rait être con­traire à des dis­pos­i­tions de pro­tec­tion des don­nées.

² Il peut ren­on­cer à ouv­rir une en­quête lor­sque la vi­ol­a­tion des pre­scrip­tions de pro­tec­tion des don­nées est de peu d’im­port­ance.

³ L’or­gane fédéral ou le sous-trait­ant four­nit au pré­posé tous les ren­sei­gne­ments et les doc­u­ments qui lui sont né­ces­saires pour l’en­quête. Le droit de re­fuser de fournir des ren­sei­gne­ments est régi par les art. 16 et 17 PA¹⁷.

⁴ Si la per­sonne con­cernée est l’auteur de la dénon­ci­ation, le pré­posé l’in­forme des suites don­nées à celle-ci et du ré­sultat d’une éven­tuelle en­quête.

¹ Lor­sque l’or­gane fédéral ou le sous-trait­ant ne re­specte pas son ob­lig­a­tion de col­laborer, le pré­posé peut, dans le cadre de la procé­dure d’en­quête, or­don­ner not­am­ment:

a.

l’ac­cès à tous les ren­sei­gne­ments, doc­u­ments, re­gis­tres des activ­ités et don­nées per­son­nelles né­ces­saires pour l’en­quête;

b.

l’ac­cès aux lo­c­aux et aux in­stall­a­tions;

c.

l’au­di­tion de té­moins;

d.

des ex­pert­ises.

² Il peut égale­ment or­don­ner des mesur­es pro­vi­sion­nelles pour la durée de l’en­quête.

¹ Si des dis­pos­i­tions de pro­tec­tion des don­nées sont vi­ol­ées, le pré­posé peut or­don­ner la mise en con­form­ité, la sus­pen­sion ou la ces­sa­tion de tout ou partie du traite­ment ain­si que l’ef­face­ment ou la de­struc­tion de tout ou partie des don­nées per­son­nelles.

² Il peut sus­pen­dre ou in­ter­dire la com­mu­nic­a­tion de don­nées per­son­nelles à l’étranger si elle est con­traire aux dispo­si­tions lé­gales ap­plic­ables en matière de com­mu­nic­a­tion de don­nées per­son­nelles à un Etat tiers ou à un or­gan­isme in­terna­tion­al.

³ Lor­sque l’or­gane fédéral ou le sous-trai­tant a pris, dur­ant l’en­quête, les mesur­es né­ces­saires au ré­t­ab­lisse­ment d’une situ­ation con­forme aux pre­scrip­tions de pro­tec­tion des don­nées, le pré­posé peut se lim­iter à pro­non­cer un aver­tisse­ment.

¹ La procé­dure d’en­quête et les dé­cisions con­cernant les mesur­es visées aux art. 23 et 24 sont ré­gies par la PA¹⁸.

² Sous réserve de l’art. 349hdu code pén­al¹⁹, seul l’or­gane fédéral ou le sous-trait­ant contre qui une en­quête a été ouverte a qual­ité de partie.

³ Le pré­posé a qual­ité pour re­courir contre les dé­cisions sur re­cours du Tribunal ad­min­is­trat­if fédéral.

¹ Le pré­posé peut échanger des in­forma­tions ou des don­nées per­son­nelles avec une autor­ité d’un Etat Schen­gen char­gée de la pro­tec­tion des don­nées per­son­nelles pour l’ac­com­p­lisse­ment de leurs tâches lé­gales re­spect­ives en matière de pro­tec­tion des don­nées, pour autant que les con­di­tions suivantes soi­ent réunies:

a.

la ré­cipro­cité en matière d’as­sist­ance ad­min­is­trat­ive est garantie;

b.

les in­form­a­tions et les don­nées per­son­nelles échangées ne sont util­isées que dans le cadre de la procé­dure liée à la pro­tec­tion des don­nées per­son­nelles à la base de la de­mande d’as­sist­ance admi­nis­trat­ive;

c.

l’autor­ité des­tinataire s’en­gage à ne pas di­vulguer les secrets pro­fes­sion­nels, d’af­faires ou de fab­ric­a­tion;

d.

les in­form­a­tions et les don­nées per­son­nelles ne sont com­mu­niquées à des tiers qu’avec l’ac­cord préal­able de l’autor­ité qui les a trans­mises;

e.

l’autor­ité des­tinataire s’en­gage à re­specter les charges et les re­stric­tions d’util­isa­tion exigées par l’autor­ité qui lui a trans­mis les in­form­a­tions et les don­nées per­son­nelles.

² Pour motiver sa de­mande d’as­sist­ance ad­min­is­trat­ive ou pour don­ner suite à une de­mande d’as­sist­ance ad­min­is­trat­ive de l’autor­ité re­quérante, il peut com­mu­niquer not­am­ment les in­dic­a­tions suivantes:

a.

le nom de l’or­gane fédéral re­spons­able, du sous-trait­ant ou de tout autre tiers par­ti­cipant au traite­ment;

b.

les catégor­ies de per­sonnes con­cer­nées;

c.

l’iden­tité des per­sonnes con­cernées lor­sque sa com­mu­nic­a­tion est in­dis­pen­sable à l’ac­com­p­lisse­ment des tâches lé­gales du pré­posé ou d’une autor­ité d’un Etat Schen­gen char­gée de la pro­tec­tion des don­nées;

d.

les don­nées per­son­nelles ou les catégo­ries de don­nées per­son­nelles traitées;

e.

les fi­nal­ités des traite­ments;

f.

les des­tinataires ou les catégor­ies de des­tinataires;

g.

les mesur­es tech­niques et or­gan­isa­tion­nelles.

³ Av­ant de trans­mettre à une autor­ité d’un Etat Schen­gen char­gée de la pro­tec­tion des don­nées des in­forma­tions sus­cept­ibles de con­tenir des secrets pro­fes­sion­nels, de fab­ric­a­tion ou d’af­faires, il in­forme les per­sonnes détentrices de ces secrets et les in­vite à pren­dre po­s­i­tion, à moins que cela ne s’avère im­possible ou ne né­ces­site des ef­forts dis­pro­por­tion­nés.

La présente loi ne s’ap­plique ni aux en­quêtes du pré­posé pendantes au mo­ment de son en­trée en vi­gueur ni aux re­cours pendants contre les dé­cisions de première in­stance ren­dues av­ant son en­trée en vi­gueur. Dans ces cas, l’an­cien droit s’ap­plique.

Date de l’en­trée en vi­gueur: 1^er mars 2019²⁰