Rapport de la Commission au Parlement euro­péen et au Conseil sur le premier réexa­men du fonc­tion­ne­ment des déci­sions d’adéquation adop­tées sur la base de l’article 25, para­graphe 6, de la direc­tive 95/​46/​CE, du 15 janvier 2024

La Commission euro­péenne présente le 15 janvier 2024 ses conclu­sions sur les déci­sions d’adéquations rendues sous l’empire de la Directive 95/​46/​CE, prédé­ces­seuse du RGPD. Ce rapport présente une adéqua­tion en bloc pour 11 pays, à savoir l’Andorre, l’Argentine, le Canada, les Îles Féroé, Guernesey, l’Île de Man, Israël, Jersey, la Nouvelle-Zélande, l’Uruguay et – atten­due de longue date – la Suisse.

Pour rappel, les déci­sions d’adéquation sont prévues à l’art. 45 RGPD et sont un des méca­nismes permet­tant le trans­fert de données person­nelles en dehors de l’UE, créant un espace de libre-échange entre le pays en béné­fi­ciant et l’espace écono­mique euro­péen. Pour plus d’informations sur le méca­nisme des déci­sions d’adéquations, ses condi­tions et son impact sur la Suisse, cf. Les déci­sions d’adéquation au sens du RGPD, en compa­rai­son avec les déci­sions basées sur la LPD (nLPD) et la marge de manœuvre de la Suisse.

Au sens de l’art. 45 par. 3 RGPD, la Commission euro­péenne est tenue de réexa­mi­ner le niveau de protec­tion au mini­mum tous les quatre ans. Depuis 2000, date de la déci­sion d’adéquation Suisse, l’entrée en vigueur du RGPD, les deux arrêts Schrems et les lignes direc­trices du groupe de travail de l’Article 29 ont contri­bué à préci­ser le méca­nisme des déci­sions d’adéquation, éléments que la Commission a pris en compte lors de son examen. En parti­cu­lier, les pays aux béné­fices de l’adéquation doivent four­nir un niveau de protec­tion « essen­tiel­le­ment équi­valent » au niveau de protec­tion prévu au niveau euro­péen. Les règles auxquelles sont soumises les auto­ri­tés publiques sont égale­ment prises en compte dans l’analyse, en parti­cu­lier lors de trai­te­ment de données person­nelles dans le cadre du main­tien de l’ordre public et de la sécu­rité intérieure.

Ayant rappelé ces divers éléments, les conclu­sions prin­ci­pales sont résu­mées par pays. Concernant la Suisse, la Commission euro­péenne recon­naît les efforts mis en œuvre, citant notam­ment la révi­sion de la LPD et la rati­fi­ca­tion de la Convention 108+. Sur la ques­tion du trai­te­ment des données person­nelles par les auto­ri­tés publiques, la Commission euro­péenne note que le code de procé­dure pénale et la loi sur le rensei­gne­ment regroupent des règles spéci­fiques, mettant en place les limites et garan­ties nécessaires.

Cette adéqua­tion met fin à une longue attente pour les spécia­listes et autres acteurs inté­res­sés de la protec­tion des données. La Commission euro­péenne motive le retard de ce réexa­men en invo­quant l’arrêt Schrems II, ainsi que « d’autres évolu­tions connexes », sans toute­fois préci­ser lesquelles. On peut imagi­ner ici que les diffé­rentes évolu­tions légis­la­tives dans les pays exami­nés – comme cela a été le cas de l’Andorre, du Canada, des Îles Féroé, de la Suisse et de la Nouvelle-Zélande – ainsi que d’autres mesures prises par les auto­ri­tés de ses pays ont justi­fié ce retard.

De manière géné­rale, cette déci­sion d’adéquation est une bonne nouvelle pour la Suisse, démon­trant ainsi que les efforts four­nis par le légis­la­teur – le Message de la nouvelle LPD indique clai­re­ment une volonté de se rappro­cher du RGPD et de garan­tir l’adéquation (FF 2017 6579) – ont porté leurs fruits. Il faut toute­fois rappe­ler, comme l’a égale­ment fait la Commission euro­péenne, que les déci­sions d’adéquations doivent être consi­dé­rées comme des « instru­ments vivants ». En effet, l’art. 45 par. 5 RGPD permet la suspen­sion, la modi­fi­ca­tion ou même le retrait d’une déci­sion d’adéquation, lorsque le niveau adéquat n’est plus garanti par le pays concerné.