C1: Sources légales Flashcards
Projet de la LPD (1988): Quels principes le CF a adopté en détriment d’autres?
- 1 seule loi pour régler public + privé (malgré fortes oppositions lors consultation)
- Pas de distinction traitement manuel/automatisé (ainsi, neutralité technologique)
Quand est-ce que l’Affaire des fiches s’est produit?
1989
Quelles sont les bases légales de la protection des données aujourd’hui?
- Cst. 13 II (autodétermination informationnelle = droit de décider si mes données peuvent être traitées ou non);
- -> restriction: Cst. 36
- Cst./VD 15 (similaire à Cst. 13 II)
- CEDH 8
- -> al. 1 = très semblable à Cst. 13
- -> al. 2 = modalités de restrictions = similaire Cst. 36
- Convention 108 du Conseil d’Europe
- -> + protocole additionnel
- -> non self-executing
- -> modernisation en cours et signé par CF 30.10.20
- LPD
- -> nLPD achevé en septembre 2020; entrée en vigueur ca. 2022
- LPrD-VD
- -> applicable à l’administration cantonale
- -> normalement 1/canton, sauf JU+NE ont convention intercantonale
- -> toujours proches de la LPD
- Loi sur l’application des données Schengen (LPDS)
- -> très limité dans l’application: 1) traitement par organes fédéraux; 2) à des fins de prévention, d’élucidation et de poursuites d’infractions ou d’exécution de sanctions pénales / y c. protection sécurité publique
Quelles sont les principales nouveautés de la LPDS?
- Principes de la protection des données dès la conception et par défaut (art. 5)
- Décision individuelle automatisée (art. 11)
- Registre des activités de traitement (art. 12)
- Analyse d’impact et consultation préalable (art. 13 s)
- Annonce des violations de sécurité (art. 15)
- Surveillance étendue du préposé (art. 21 ss)
Quelle est le règlement de l’UE et s’applique-t-il aussi en CH?
RGPD / DSGVO
–> s’applique en CH et en tout Etat tiers également lorsque le responsable de traitement/le sous-responsable traite des données d’un ressortissant UE
= APPLICATION EXTRATERRITORIALE
Est-ce que la LPD s’applique hors la Suisse?
En principe non; seuls les maîtres du fichier qui traitent des données en CH sont visés.
MAIS:
- Contient toutefois des règles pour la transmission transfrontière de données (LPD 6); et
- la personne concernée peut se trouver à l’étranger
Dans la LPD et le RGDP resp., le cercle des responsables du traitement et les personnes concernées visé, sont-ils égaux?
Maître du fichier: personne physique ou morale dans les deux
Personne concernée:
- -> RGPD: slmnt personnes physiques (Consid. 14)
- -> LPD: aussi personnes morales
Où se trouve le champ d’application matériel du RGPD? Y a-t-il des exceptions?
Champ d’application matériel: RGPD 2 I
Exceptions: al. 2 :
–> let. c: traitement par une personne physique strictement personnelle ou domestique (p. ex. correspondance personnelle; carnet d’adresses)
–> let. d: traitement effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales
–> let. b: données traitées par les États membres de l’EEE dans le cadre de la politique étrangère et la politique de sécurité commune
–> let. a: dans le cadre d’une activité qui ne relève pas du champ d’application du droit de l’UE
Quel est le champ d’application territorial a. s. d. RGPD 3 I?
- Etablissement du (sous-)responsable sur le territoire EEE
- Traitement dans le cadre des activités d’un établissement
- “que le traitement ait lieu ou non dans l’Union”
Quelle est la définition de l’établissement et où l’ai-je notée?
= l’exercice effectif et réel d’une activité au moyen d’un dispositif stable
= moyens humains (1 perso suffit) et techniques nécessaires à la fourniture de services particuliers soient disponibles en permanence
—> JURISPRUDENCE (CJUE: Google Spain; TF: Google Street View): CRITERE TRES LACHE:
Google Spain fait que les pubs pour Google Search/Google Search fait le traitement aux E-U –> Google Spain quand-même considéré comme établissement de Google Search a. s. d. RGDP 3 I
–> TF: arrêt similaire concernant Google Street View (USA) et Google Inc. et Google Suisse Sàrl
NOTE A RGPD 3 I
Quand est-ce qu’il s’applique le RGPD de manière extraterritoriale?
RGPD 3 II:
let. a (principe du lieu du marché): l’offre de biens ou de services aux personnes concernées dans l’Union [résidants EEE doivent aussi être visés par le resp; vente isolée ne compte pas], qu’un paiement soit exigé ou non desdites personnes; ou
let. b: suivi du comportement en ligne des résidents EEE, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union.
Quelle nationalité est requise pour être protégé par le RGPD?
Egal; une personne d’un Etat tiers peut “se trouver” même juste pour un temps limité sur le territoire EEE et sera protégé pendant tout son séjour (et pourrait saisir les autorités de contrôle en cas de violence).
Vice versa, un ressortissant EEE ne peut pas invoquer le RGPD s’il se trouve hors l’EEE (p. ex. en CH)
Quels sont les problèmes liés au champ d’application a. s. d. RGPD 3 II?
1) Problèmes de délimitation des notions et ainsi du champ d’application
2) Des Etats tiers ne reconnaissent pas forcément les mêmes standards, en particulier ceux dans lesquels les responsables de traitement se trouvent.
3) Les responsables de traitement ressortissant d’un Etat tiers n’ont pas forcément connaissance du RGPD et se voient confrontés à des règles exotiques de leur point de vue
Comment se définissent 1) les biens et 2) les services?
Les deux sont des notions larges:
1 = « tout objet mobilier corporel, sauf les objets vendus sur saisie ou de quelque autre manière par autorité de justice »
= comprend de l’eau et du gaz lorsque ceux-ci peuvent être fournis en quantité déterminées
2 = « toute activité économique non salariée, exercée normalement contre rémunération »
Quelle autre condition doit être remplie pour l’application extraterritoriale du RGPD a. s. d. art. 3 II let. a qui ne se trouve pas explicitement dans le texte légal?
Le responsable doit viser les résidents EEE –> se détermine selon les circonstances individuelles
CAVE: fréquence n’importe pas ! Aussi occasionnellement possible.
–> p. ex. donné où site web turque offre des albums photos personnalisés en 4 langues parlées au sein de l’EEE, indique la livraison en F, BENELUX et Allemagne, et accepte € comme monnaie
–> p. ex. ne pas donné lors lancement de candidature pour programme de Master de l’UZH, s’adressant aux étudiants avec niveau linguistique suffisant et ayant un diplôme de Bachelor; monnaie CHF.
