La présente loi vise à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l'objet d'un traitement.

¹ La présente loi régit le traitement de données personnelles concernant des personnes physiques effectué par:

a.

des personnes privées;

b.

des organes fédéraux.

² Elle ne s'applique pas:

a.

aux traitements de données personnelles effectués par une personne physique pour un usage exclusivement personnel;

b.

aux traitements de données personnelles effectués par les Chambres fédérales et les commissions parlementaires dans le cadre de leurs délibérations;

c.

aux traitements de données personnelles effectués par les bénéficiaires institutionnels au sens de l'art. 2, al. 1, de la loi du 22 juin 2007 sur l'État hôte³ qui jouissent en Suisse de l'immunité de juridiction.

³ Les traitements de données personnelles effectués dans le cadre de procédures devant des tribunaux ou dans le cadre de procédures régies par des dispositions fédérales de procédure, ainsi que les droits des personnes concernées, obéissent au droit de procédure applicable. La présente loi s'applique aux procédures administratives de première instance.

⁴ Les registres publics relatifs aux rapports de droit privé, notamment l'accès à ces registres et les droits des personnes concernées, sont régis par les dispositions spéciales du droit fédéral applicable. À défaut la présente loi s'applique.

¹ La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.

² Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé⁴. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal⁵.

¹ Le Préposé fédéral à la protection des données et à la transparence (PFPDT) est chargé de surveiller la bonne application des dispositions fédérales de protection des données.

² Il ne peut exercer aucune surveillance sur:

a.

l'Assemblée fédérale;

b.

le Conseil fédéral;

c.

les tribunaux fédéraux;

d.

le Ministère public de la Confédération, en ce qui concerne le traitement de données personnelles dans le cadre de procédures pénales;

e.

les autorités fédérales, en ce qui concerne le traitement de données personnelles dans le cadre de leurs activités juridictionnelles ou dans le cadre de procédures d'entraide judiciaire internationale en matière pénale.

¹ Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d'elle ou non.

² Lors de la collecte, il communique à la personne concernée les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence des traitements soit garantie; il lui communique au moins:

a.

l'identité et les coordonnées du responsable du traitement;

b.

la finalité du traitement;

c.

le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises.

³ Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique en outre les catégories de données traitées à cette personne.

⁴ Lorsque des données personnelles sont communiquées à l'étranger, il communique également à la personne concernée le nom de l'État ou de l'organisme international auquel elles sont communiquées et, le cas échéant, les garanties prévues à l'art. 16, al. 2, ou l'application d'une des exceptions prévues à l'art. 17.

⁵ Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique à cette personne les informations mentionnées aux al. 2 à 4 au plus tard un mois après qu'il a obtenu les données personnelles. S'il communique les données personnelles avant l'échéance de ce délai, il en informe la personne concernée au plus tard lors de la communication.

¹ Le responsable du traitement est délié du devoir d'information au sens de l'art. 19 si l'une des conditions suivantes est remplie:

a.

la personne concernée dispose déjà des informations correspondantes;

b.

le traitement des données personnelles est prévu par la loi;

c.

le responsable du traitement est une personne privée et il est lié par une obligation légale de garder le secret;

d.

les conditions de l'art. 27 sont remplies.

² Lorsque les données personnelles ne sont pas collectées auprès de la personne concernée, le devoir d'information ne s'applique pas non plus dans les cas suivants:

a.

l'information est impossible à donner;

b.

elle nécessite des efforts disproportionnés.

³ Le responsable du traitement peut restreindre ou différer la communication des informations, ou y renoncer, si l'une des conditions suivantes est remplie:

a.

les intérêts prépondérants d'un tiers l'exigent;

b.

l'information empêche le traitement d'atteindre son but;

c.

lorsque le responsable du traitement est une personne privée et que les conditions suivantes sont remplies:

1.

ses intérêts prépondérants l'exigent,

2.

il ne communique pas les données à un tiers;

d.

lorsque le responsable du traitement est un organe fédéral:

1.

si un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l'exige, ou

2.

si la communication des informations est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative.

⁴ Les entreprises appartenant au même groupe ne sont pas considérées comme des tiers au sens de l'al. 3, let. c, ch. 2.

¹ Le responsable du traitement informe la personne concernée de toute décision qui est prise exclusivement sur la base d'un traitement de données personnelles automatisé et qui a des effets juridiques pour elle ou l'affecte de manière significative (décision individuelle automatisée).

² Si la personne concernée le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la décision individuelle automatisée soit revue par une personne physique.

³ Les al. 1 et 2 ne s'appliquent pas dans les cas suivants:

a.

la décision individuelle automatisée est en relation directe avec la conclusion ou l'exécution d'un contrat entre le responsable du traitement et la personne concernée et la demande de cette dernière est satisfaite;

b.

la personne concernée a expressément consenti à ce que la décision soit prise de manière automatisée.

⁴ Si la décision individuelle automatisée émane d'un organe fédéral, ce dernier doit la qualifier comme telle. L'al. 2 ne s'applique pas lorsque la personne concernée ne doit pas être entendue avant la décision conformément à l'art. 30, al. 2, de la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA)⁶ ou en vertu d'une autre loi fédérale.

¹ Lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, le responsable du traitement procède au préalable à une analyse d'impact relative à la protection des données personnelles. S'il envisage d'effectuer plusieurs opérations de traitement semblables, il peut établir une analyse d'impact commune.

² L'existence d'un risque élevé, en particulier lors du recours à de nouvelles technologies, dépend de la nature, de l'étendue, des circonstances et de la finalité du traitement. Un tel risque existe notamment dans les cas suivants:

a.

traitement de données sensibles à grande échelle;

b.

surveillance systématique de grandes parties du domaine public.

³ L'analyse d'impact contient une description du traitement envisagé, une évaluation des risques pour la personnalité ou les droits fondamentaux de la personne concernée, ainsi que les mesures prévues pour protéger sa personnalité et ses droits fondamentaux.

⁴ Le responsable du traitement privé est délié de son obligation d'établir une analyse d'impact s'il est tenu d'effectuer le traitement en vertu d'une obligation légale.

⁵ Le responsable du traitement privé peut renoncer à établir une analyse d'impact lorsqu'il recourt à un système, un produit ou un service certifié conformément à l'art. 13 pour l'utilisation prévue ou qu'il respecte un code de conduite au sens de l'art. 11 remplissant les conditions suivantes:

a.

il repose sur une analyse d'impact relative à la protection des données personnelles;

b.

il prévoit des mesures pour protéger la personnalité et les droits fondamentaux de la personne concernée;

c.

il a été soumis au PFPDT.

¹ Le responsable du traitement consulte le PFPDT préalablement au traitement lorsque l'analyse d'impact relative à la protection des données révèle que, malgré les mesures prévues par le responsable du traitement, le traitement envisagé présente encore un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.

² Le PFPDT communique au responsable du traitement ses objections concernant le traitement envisagé dans un délai de deux mois. Ce délai peut être prolongé d'un mois lorsqu'il s'agit d'un traitement de données complexe.

³ Si le PFPDT a des objections concernant le traitement envisagé, il propose au responsable du traitement des mesures appropriées.

⁴ Le responsable du traitement privé peut renoncer à consulter le PFPDT s'il a consulté son conseiller à la protection des données au sens de l'art. 10.

¹ Le responsable du traitement annonce dans les meilleurs délais au PFPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.

² L'annonce doit indiquer au moins la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées.

³ Le sous-traitant annonce dans les meilleurs délais au responsable du traitement tout cas de violation de la sécurité des données.

⁴ Le responsable du traitement informe la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l'exige.

⁵ Il peut restreindre l'information de la personne concernée, la différer ou y renoncer, dans les cas suivants:

a.

il existe un motif au sens de l'art. 26, al. 1, let. b, ou 2, let. b, ou un devoir légal de garder le secret qui l'interdit;

b.

l'information est impossible à fournir ou exige des efforts disproportionnés;

c.

l'information de la personne concernée peut être garantie de manière équivalente par une communication publique.

^5bis Le PFPDT peut, avec l'accord du responsable du traitement, transmettre l'annonce à l'Office fédéral de la cybersécurité pour que celui-ci analyse l'incident. La communication peut contenir des données personnelles, y compris des données sensibles relatives à des poursuites ou à des sanctions pénales ou administratives visant le responsable du traitement.⁷

⁶ Une annonce fondée sur le présent article ne peut être utilisée dans le cadre d'une procédure pénale contre la personne tenue d'annoncer qu'avec son consentement.

¹ Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.

² La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:

a.

l'identité et les coordonnées du responsable du traitement;

b.

les données personnelles traitées en tant que telles;

c.

la finalité du traitement;

d.

la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;

e.

les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;

f.

le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;

g.

le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.

³ Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.

⁴ Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.

⁵ Nul ne peut renoncer par avance au droit d'accès.

⁶ Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.

⁷ En règle générale, les renseignements sont fournis dans un délai de 30 jours.

¹ Le responsable du traitement peut refuser, restreindre ou différer la communication des renseignements dans les cas suivants:

a.

une loi au sens formel le prévoit, notamment pour protéger un secret professionnel;

b.

les intérêts prépondérants d'un tiers l'exigent;

c.

la demande d'accès est manifestement infondée notamment parce qu'elle poursuit un but contraire à la protection des données ou est manifestement procédurière.

² Il est au surplus possible de refuser, de restreindre ou de différer la communication des renseignements dans les cas suivants:

a.

lorsque le responsable du traitement est une personne privée et que les conditions suivantes sont remplies:

1.

ses intérêts prépondérants l'exigent,

2.

il ne communique pas les données à un tiers.

b.

lorsque le responsable du traitement est un organe fédéral:

1.

si un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l'exige, ou

2.

si la communication des informations est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative.

³ Les entreprises appartenant au même groupe ne sont pas considérées comme des tiers au sens de l'al. 2, let. a, ch. 2⁸.

⁴ Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la communication des informations.

¹ Lorsque les données personnelles sont traitées exclusivement pour la publication dans la partie rédactionnelle d'un média à caractère périodique, le responsable du traitement peut refuser, restreindre ou différer la communication des renseignements dans l'un des cas suivants:

a.

les données fournissent des indications sur les sources d'information;

b.

un droit de regard sur des projets de publication en résulterait;

c.

la libre formation de l'opinion publique serait compromise.

² Les journalistes peuvent en outre refuser, restreindre ou différer la communication des renseignements lorsque les données personnelles servent exclusivement d'instrument de travail personnel.

¹ La personne concernée peut demander au responsable du traitement qu'il lui remette sous un format électronique couramment utilisé les données personnelles la concernant qu'elle lui a communiquées lorsque les conditions suivantes sont réunies:

a.

le responsable du traitement traite les données personnelles de manière automatisée;

b.

les données personnelles sont traitées avec le consentement de la personne concernée ou en relation directe avec la conclusion ou l'exécution d'un contrat entre elle et le responsable du traitement.

² La personne concernée peut en outre demander au responsable du traitement qu'il transmette les données personnelles la concernant à un autre responsable du traitement, pour autant que les conditions de l'al. 1 soient remplies et que cela n'exige pas des efforts disproportionnés.

³ Le responsable du traitement remet ou transmet gratuitement les données personnelles. Le Conseil fédéral peut prévoir des exceptions, notamment si la remise ou la transmission des données personnelles exige des efforts disproportionnés.

¹ Le responsable du traitement peut refuser, restreindre ou différer la remise ou la transmission de données personnelles pour les mêmes motifs que ceux prévus à l'art. 26, al. 1 et 2.

² Le responsable du traitement indique le motif pour lequel il refuse, restreint ou diffère la remise ou la transmission des données personnelles.

¹ Celui qui traite des données personnelles ne doit pas porter une atteinte illicite à la personnalité des personnes concernées.

² Constitue notamment une atteinte à la personnalité le fait de:

a.

traiter des données personnelles en violation des principes définis aux art. 6 et 8;

b.

traiter des données personnelles contre la manifestation expresse de la volonté de la personne concernée;

c.

communiquer à des tiers des données sensibles.

³ En règle générale, il n'y a pas atteinte à la personnalité lorsque la personne concernée a rendu les données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement.

¹ Une atteinte à la personnalité est illicite à moins d'être justifiée par le consentement de la personne concernée, par un intérêt privé ou public prépondérant, ou par la loi.

² Les intérêts prépondérants du responsable du traitement entrent notamment en considération dans les cas suivants:

a.

le traitement est en relation directe avec la conclusion ou l'exécution d'un contrat et les données traitées concernent le cocontractant;

b.

le traitement s'inscrit dans un rapport de concurrence économique actuel ou futur avec une autre personne, à condition toutefois qu'aucune donnée personnelle traitée ne soit communiquée à des tiers; ne sont pas considérées comme des tiers au sens de cette disposition les entreprises appartenant au même groupe que le responsable du traitement;

c.

les données personnelles sont traitées dans le but d'évaluer la solvabilité de la personne concernée pour autant que les conditions suivantes soient réunies:

1.

il ne s'agit pas de données sensibles ni d'un profilage à risque élevé,

2.

les données ne sont communiquées à des tiers que s'ils en ont besoin pour conclure ou exécuter un contrat avec la personne concernée,

3.

les données ne datent pas de plus de dix ans,

4.

la personne concernée est majeure;

d.

les données personnelles sont traitées de manière professionnelle exclusivement en vue d'une publication dans la partie rédactionnelle d'un média à caractère périodique ou, si la publication n'a pas lieu, servent exclusivement d'instrument de travail personnel;

e.

les données personnelles sont traitées à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, si les conditions suivantes sont réunies:

1.

le responsable du traitement anonymise les données dès que la finalité du traitement le permet; si une anonymisation est impossible ou exige des efforts disproportionnés, il prend des mesures appropriées afin que les personnes concernées ne puissent pas être identifiées,

2.

s'il s'agit de données sensibles, le responsable du traitement ne les communique à des tiers que sous une forme ne permettant pas d'identifier la personne concernée; si cela n'est pas possible, des mesures doivent être prises qui garantissent que les tiers ne traitent les données qu'à des fins ne se rapportant pas à des personnes,

3.

les résultats sont publiés sous une forme ne permettant pas d'identifier les personnes concernées;

f.

les données personnelles recueillies concernent une personnalité publique et se réfèrent à son activité publique.

¹ La personne concernée peut exiger que des données personnelles inexactes soient rectifiées, sauf si:

a.

la modification est interdite par une disposition légale;

b.

les données sont traitées à des fins archivistiques répondant à un intérêt public.

² Les actions concernant la protection de la personnalité sont régies par les art. 28, 28a et 28g à 28l du code civil⁹. Le demandeur peut requérir en particulier:

a.

l'interdiction d'un traitement déterminé de données personnelles;

b.

l'interdiction d'une communication déterminée de données personnelles à des tiers;

c.

l'effacement ou la destruction de données personnelles.

³ Si l'exactitude ou l'inexactitude d'une donnée personnelle ne peut pas être établie, le demandeur peut requérir que l'on ajoute à la donnée la mention de son caractère litigieux.

⁴ Il peut en outre demander que la rectification, l'effacement ou la destruction des données, l'interdiction du traitement ou de la communication à des tiers, la mention du caractère litigieux ou le jugement soient communiqués à des tiers ou publiés.

Lorsqu'un organe fédéral traite des données personnelles conjointement avec d'autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de protection des données.

¹ Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale.

² La base légale doit être prévue dans une loi au sens formel dans les cas suivants:

a.

il s'agit d'un traitement de données sensibles;

b.

il s'agit d'un profilage;

c.

la finalité ou le mode du traitement de données personnelles est susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée.

³ Pour les traitements de données personnelles visés à l'al. 2, let. a et b, une base légale prévue dans une loi au sens matériel suffit si les conditions suivantes sont réunies:

a.

le traitement est indispensable à l'accomplissement d'une tâche définie dans une loi au sens formel;

b.

la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée.

⁴ En dérogation aux al. 1 à 3, les organes fédéraux peuvent traiter des données personnelles si l'une des conditions suivantes est remplie:

a.

le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés;

b.

la personne concernée a consenti au traitement en l'espèce ou a rendu ses données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement;

c.

le traitement est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable.

¹ Le Conseil fédéral peut autoriser, avant l'entrée en vigueur d'une loi au sens formel, le traitement automatisé de données sensibles ou d'autres traitements au sens de l'art. 34, al. 2, let. b et c, si les conditions suivantes sont réunies:

a.

les tâches qui nécessitent ce traitement sont réglées dans une loi au sens formel déjà en vigueur;

b.

des mesures appropriées sont prises aux fins de réduire au minimum les atteintes aux droits fondamentaux de la personne concernée;

c.

la mise en œuvre du traitement rend indispensable une phase d'essai avant l'entrée en vigueur de la loi au sens formel, en particulier pour des raisons techniques.

² Il consulte au préalable le PFPDT.

³ L'organe fédéral responsable transmet, au plus tard deux ans après la mise en œuvre de l'essai pilote, un rapport d'évaluation au Conseil fédéral. Dans ce rapport, il lui propose la poursuite ou l'interruption du traitement.

⁴ Le traitement automatisé de données personnelles doit être interrompu dans tous les cas si aucune loi au sens formel prévoyant la base légale nécessaire n'est entrée en vigueur dans un délai de cinq ans à compter de la mise en œuvre de l'essai pilote.

¹ Les organes fédéraux ne sont en droit de communiquer des données personnelles que si une base légale au sens de l'art. 34, al. 1 à 3, le prévoit.

² En dérogation à l'al. 1, ils peuvent, dans un cas d'espèce, communiquer des données personnelles si l'une des conditions suivantes est remplie:

a.

la communication des données est indispensable à l'accomplissement des tâches légales du responsable du traitement ou du destinataire;

b.

la personne concernée a consenti à la communication des données;

c.

la communication des données est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers et il n'est pas possible d'obtenir le consentement de la personne concernée dans un délai raisonnable;

d.

la personne concernée a rendu ses données accessibles à tout un chacun et ne s'est pas expressément opposée à la communication;

e.

le destinataire rend vraisemblable que la personne concernée ne refuse son consentement ou ne s'oppose à la communication que dans le but de l'empêcher de se prévaloir de prétentions juridiques ou de faire valoir d'autres intérêts légitimes; à moins que cela ne s'avère impossible ou ne nécessite des efforts disproportionnés, la personne concernée sera auparavant invitée à se prononcer.

³ Les organes fédéraux peuvent en outre communiquer des données personnelles, d'office, dans le cadre de l'information officielle du public, ou en vertu de la loi du 17 décembre 2004 sur la transparence¹⁰, si les conditions suivantes sont réunies:

a.

les données sont en rapport avec l'accomplissement de tâches publiques;

b.

la communication répond à un intérêt public prépondérant.

⁴ Ils sont en droit de communiquer, sur demande, le nom, le prénom, l'adresse et la date de naissance d'une personne, même si les conditions des al. 1 ou 2 ne sont pas remplies.

⁵ Ils peuvent rendre accessibles des données personnelles à tout un chacun au moyen de services d'information et de communication automatisés lorsqu'une base légale prévoit la publication de ces données ou que ces organes communiquent des données sur la base de l'al. 3. Lorsqu'il n'existe plus d'intérêt public à rendre accessibles ces données, elles doivent être effacées du service d'information et de communication automatisé.

⁶ Ils refusent la communication, la restreignent ou l'assortissent de charges:

a.

si un intérêt public important ou un intérêt digne de protection manifeste de la personne concernée l'exige, ou

b.

si une obligation légale de garder le secret ou une disposition particulière de protection des données l'exige.

¹ La personne concernée qui rend vraisemblable un intérêt digne de protection peut s'opposer à ce que l'organe fédéral responsable communique des données personnelles déterminées.

² L'organe fédéral rejette l'opposition si l'une des conditions suivantes est remplie:

a.

il est juridiquement tenu de communiquer les données personnelles;

b.

le défaut de communication risque de compromettre l'accomplissement de ses tâches.

³ L'art. 36, al. 3, est réservé.

¹ Conformément à la loi fédérale du 26 juin 1998 sur l'archivage¹¹, les organes fédéraux proposent aux Archives fédérales de reprendre toutes les données personnelles dont ils n'ont plus besoin en permanence.

² Ils détruisent les données personnelles que les Archives fédérales ont désignées comme n'ayant plus de valeur archivistique, à moins que celles-ci:

a.

ne soient rendues anonymes;

b.

ne doivent être conservées à titre de preuve, par mesure de sûreté ou afin de sauvegarder un intérêt digne de protection de la personne concernée.

¹ Les organes fédéraux sont en droit de traiter des données personnelles à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, si les conditions suivantes sont réunies:

a.

les données sont rendues anonymes dès que la finalité du traitement le permet;

b.

l'organe fédéral ne communique des données sensibles à des personnes privées que sous une forme ne permettant pas d'identifier les personnes concernées;

c.

le destinataire ne communique les données à des tiers qu'avec le consentement de l'organe fédéral qui les lui a transmises;

d.

les résultats du traitement ne sont publiés que sous une forme ne permettant pas d'identifier les personnes concernées.

² Les art. 6, al. 3, 34, al. 2, et 36, al. 1, ne sont pas applicables.

Lorsqu'un organe fédéral agit selon le droit privé, le traitement des données personnelles est régi par les dispositions applicables aux personnes privées.

¹ Quiconque a un intérêt digne de protection peut exiger de l'organe fédéral responsable:

a.

qu'il s'abstienne de procéder à un traitement illicite;

b.

qu'il supprime les effets d'un traitement illicite;

c.

qu'il constate le caractère illicite du traitement.

² Le demandeur peut en particulier demander que l'organe fédéral:

a.

rectifie les données personnelles, les efface ou les détruise;

b.

publie ou communique à des tiers sa décision, concernant notamment la rectification, l'effacement ou la destruction des données, l'opposition à une communication (art. 37) ou la mention du caractère litigieux des données personnelles (al. 4).

³ Au lieu d'effacer ou de détruire les données personnelles, l'organe fédéral limite le traitement dans les cas suivants:

a.

l'exactitude des données est contestée par la personne concernée et leur exactitude ou inexactitude ne peut pas être établie;

b.

des intérêts prépondérants d'un tiers l'exigent;

c.

un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l'exige;

d.

l'effacement ou la destruction des données est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative.

⁴ Si l'exactitude ou l'inexactitude d'une donnée personnelle ne peut pas être établie, il ajoute à la donnée la mention de son caractère litigieux.

⁵ La rectification, l'effacement ou la destruction de données personnelles ne peut pas être exigée pour les fonds gérés par des institutions ouvertes au public telles que les bibliothèques, les établissements d'enseignement, les musées, les archives et les autres institutions patrimoniales publiques. Si le demandeur rend vraisemblable qu'il dispose d'un intérêt prépondérant, il peut exiger que l'institution limite l'accès aux données litigieuses. Les al. 3 et 4 ne s'appliquent pas.

⁶ La procédure est régie par la PA¹². Les exceptions prévues aux art. 2 et 3 PA ne sont pas applicables.

Tant que l'accès à des documents officiels contenant des données personnelles fait l'objet d'une procédure au sens de la loi du 17 décembre 2004 sur la transparence¹³, la personne concernée peut, dans le cadre de cette procédure, faire valoir les droits que lui confère l'art. 41 de la présente loi concernant les documents qui sont l'objet de la procédure d'accès.

¹ Sont, sur plainte, punies d'une amende de 250 000 francs au plus les personnes privées qui:

a.

contreviennent aux obligations prévues aux art. 19, 21 et 25 à 27 en fournissant intentionnellement des renseignements inexacts ou incomplets;

b.

omettent intentionnellement:

1.

d'informer la personne concernée conformément aux art. 19, al. 1, et 21, al. 1,

2.

de lui fournir les informations prévues à l'art. 19, al. 2.

² Sont punies d'une amende de 250 000 francs au plus les personnes privées qui, dans le cadre d'une enquête, en violation de l'art. 49, al. 3, fournissent intentionnellement au PFPDT des renseignements inexacts ou refusent intentionnellement de collaborer.

Sont, sur plainte, punies d'une amende de 250 000 francs au plus les personnes privées qui, intentionnellement:

a.

communiquent des données personnelles à l'étranger en violation de l'art. 16, al. 1 et 2, et sans que les conditions de l'art. 17 soient remplies;

b.

confient le traitement de données personnelles à un sous-traitant sans que les conditions de l'art. 9, al. 1 et 2, soient remplies;

c.

ne respectent pas les exigences minimales en matière de sécurité des données édictées par le Conseil fédéral selon l'art. 8, al. 3.

¹ Est, sur plainte, puni d'une amende de 250 000 francs au plus quiconque révèle intentionnellement des données personnelles secrètes portées à sa connaissance dans l'exercice d'une profession qui requiert la connaissance de telles données.

² Est passible de la même peine quiconque révèle intentionnellement des données personnelles secrètes portées à sa connaissance dans le cadre des activités qu'il exerce pour le compte d'une personne soumise à l'obligation de garder le secret ou lors de sa formation chez elle.

³ La révélation de données personnelles secrètes demeure punissable alors même que l'exercice de la profession ou la formation ont pris fin.

Sont punies d'une amende de 250 000 francs au plus les personnes privées qui, intentionnellement, ne se conforment pas à une décision du PFPDT ou d'une autorité de recours, à elles signifiée sous la menace de la peine prévue au présent article.

¹ Les art. 6 et 7 de la loi fédérale du 22 mars 1974 sur le droit pénal administratif (DPA)²⁴ sont applicables aux infractions commises dans une entreprise.

² Lorsque l'amende entrant en ligne de compte ne dépasse pas 50 000 francs et que l'enquête rendrait nécessaires à l'égard des personnes punissables selon l'art. 6 DPA des mesures d'instruction hors de proportion avec la peine encourue, l'autorité peut renoncer à poursuivre ces personnes et condamner l'entreprise (art. 7 DPA) au paiement de l'amende à leur place.

¹ La poursuite et le jugement des infractions incombent aux cantons.

² Le PFPDT peut dénoncer des infractions aux autorités de poursuite pénale compétentes et faire valoir les droits d'une partie plaignante dans la procédure.

L'action pénale se prescrit par cinq ans.

Le Conseil fédéral peut conclure des traités internationaux concernant:

a.

la coopération internationale entre autorités chargées de la protection des données;

b.

la reconnaissance réciproque d'un niveau de protection adéquat pour la communication de données personnelles à l'étranger.

L'abrogation et la modification d'autres actes sont réglées dans l'annexe 1.

Les art. 7, 22 et 23 ne sont pas applicables aux traitements qui ont débuté avant l'entrée en vigueur de la présente loi, pour autant que les finalités du traitement restent inchangées et que de nouvelles données ne soient pas collectées.

La présente loi ne s'applique ni aux enquêtes du PFPDT pendantes au moment de son entrée en vigueur ni aux recours pendants contre les décisions de première instance rendues avant son entrée en vigueur. Dans ces affaires, l'ancien droit s'applique.

Pour les organes fédéraux, les dispositions d'autres actes de droit fédéral qui font référence à des données personnelles continuent de s'appliquer au traitement des données concernant des personnes morales pendant les cinq ans suivant l'entrée en vigueur de la présente loi. Pendant ce délai, les organes fédéraux peuvent en particulier continuer à communiquer des données concernant des personnes morales selon l'art. 57s, al. 1 et 2, de la loi du 21 mars 1997 sur l'organisation du gouvernement et de l'administration²⁵ s'il existe une base légale permettant de communiquer des données personnelles.

¹ L'ancien droit s'applique à l'élection et à la fin des rapports de travail du préposé jusqu'à la fin de la législature au cours de laquelle la présente loi entre en vigueur.

² Si, lors de la première élection du préposé par l'Assemblée fédérale (Chambres réunies), l'ancien titulaire du poste est élu, le nouveau mandat du préposé commence le jour suivant l'élection.²⁶

Les rapports de travail du préposé établis en vertu de l'ancien droit sont régis par celui-ci.

La coordination avec d'autres actes est réglée dans l'annexe 2.

¹ La présente loi est sujette au référendum.

² Le Conseil fédéral fixe la date de l'entrée en vigueur.

Date de l'entrée en vigueur: 1^er septembre 2023²⁸