INTRODUCTION

Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement général sur la protection des données ou RGPD), abrogeant la directive 95/46/CE, entrera en vigueur le 25 mai prochain.
Dès cette date, ledit règlement sera directement applicable dans l’ensemble de l’Union européenne sans qu’aucune transposition en droit interne ne soit nécessaire par les États membres (contrairement à une directive).

Ce texte est l’aboutissement de plus de quatre ans de travaux au sein de l’UE et vise à remplacer la directive de 1995 qui a été appliquée de manière disparate par les différents pays.

Le but est de créer un ensemble uniforme et cohérent de règles à travers l’UE, adaptées à l’ère du numérique, afin de renforcer la sécurité juridique et la confiance des citoyens en leur conférant davantage de contrôle sur leurs données personnelles. Le règlement entend également renforcer le rôle des autorités de protection des données et responsabiliser les entreprises tout en rationnalisant les transferts internationaux de données personnelles.

Ce texte aura des répercussions directes sur un grand nombre d’entreprises suisses, y compris sur les gestionnaires de fortune. Décodage…

*****

1. CHAMP D’APPLICATION MATÉRIEL DU RGPD

Il n’y pas de changement au niveau du champ d’application matériel par rapport à la directive. Sauf exceptions, le RGPD s’applique à tout traitement de données personnelles (collecte, enregistrement, stockage, utilisation, communication, destruction, etc.) automatisé ou non, contenues dans un fichier et se rapportant à une personne physique (les personnes morales ne sont pas concernées) identifiée ou identifiable et mis en œuvre par une personne physique ou morale de droit public ou privé.

2. CHAMP D’APPLICATION TERRITORIAL DU RGPD

Par rapport à l’ancienne directive sur la protection des données, le champ d’application territorial du RGPD a été étendu et comprend désormais le critère du groupe cible de personnes visées par le traitement des données. Le règlement aura donc un effet extraterritorial, conformément à la jurisprudence de la Cour de justice de l’Union européenne (CJUE) (affaire Google Spain).

Ainsi, celui-ci s’appliquera non seulement au traitement de données par des responsables (par exemple une succursale ou une filiale européenne d’une entreprise suisse) ou des sous-traitants (par exemple un prestataire de services informatiques) situés sur le territoire de l’Union européenne (peu importe le lieu de résidence ou la nationalité de la personne physique concernée par le traitement des données) mais également aux entreprises situées hors du territoire (par exemple en Suisse) lorsqu’elles :

– Offrent des biens ou des services à des personnes situées dans l’Union européenne ; ou

– Observent le comportement de personnes physiques situées dans l’Union européenne (par exemple l’analyse du comportement des visiteurs d’un site Internet (profilage en vue de publicité comportementale) par l’utilisation de tracking cookies ou de Google Analytics).

« LE CHAMP D’APPLICATION DU RGPD EST TRÈS LARGE ET S’ÉTEND AU-DELÀ DES FRONTIÈRES DE L’UE, Y COMPRIS À LA SUISSE. »

A noter que pour déterminer à quelles conditions une entreprise est réputée offrir des biens et des services vers un État de l’Union européenne (on parle de « diriger ses activités »), nous pensons qu’il convient de se référer aux critères établis par la CJUE en matière de contrats conclus avec des consommateurs. Nous renvoyons à cet égard le lecteur à notre dernière Newsletter du 5 février 2018 (l’impact de MiFID II en Suisse) qui explicite ceux-ci. La question est particulièrement complexe en ce qui concerne les sites Internet.

Nous rappellerons ici qu’il convient de prendre en compte à cet égard un faisceau d’indices comprenant par exemple :

• La langue ou la monnaie de référence courant dans un ou plusieurs États membres ;

• La possibilité de commander des biens et des services dans cette langue ;

• La mention de clients ou d’utilisateurs qui se trouvent sur le territoire de l’Union ;

• La mention d’un numéro de téléphone avec un indicatif téléphonique international ;

• La description de l’itinéraire depuis un État membre au lieu où le service est offert ;

• La mention sur le site Internet d’une clientèle internationale domiciliée dans divers États membres ;

• L’utilisation d’un domaine Internet de premier niveau autre que celui de l’État où le service est offert (par exemple pour une entreprise suisse l’extension .fr ou .it).

On relèvera toutefois que la simple accessibilité du site Internet de l’entreprise depuis l’Union ne suffit pas pour établir l’intention de diriger ses activités vers ce territoire.

3. LES DROITS DES PERSONNES CONCERNÉES

Le RGPD oblige le responsable du traitement des données à prévoir des procédures et des mécanismes permettant à la personne visée d’exercer en toute transparence un certain nombre de droits. Toute information à ce propos adressée au public ou à une personne concernée doit être aisément accessible et facile à comprendre dans une forme concise et transparente, et formulée en termes simples et clairs. Elle doit en principe être fournie par écrit et sans frais. Les droits de la personne concernée consistent entre autres en :

– Le droit d’être informé (articles 13 et 14 RGPD), au moment où les données à caractère personnel sont obtenues, du traitement de celles-ci. Les informations suivantes doivent par exemple être données :

 + l’identité et les coordonnées du responsable du traitement ;
 + la finalité du traitement ;
 + les destinataires des données, s’ils existent ;
 + la durée de conservation des données ;
 + le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
 + l’existence du droit de demander au responsable du traitement l’accès aux données, la rectification ou l’effacement de celles-ci ;
 + des informations sur la question de savoir si l’exigence de fourniture de données a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat.

– Le droit d’obtenir l’accès à ses données personnels et d’en obtenir une copie (article 15 RGPD).

– Le droit de demander que ses données soient rectifiées ou complétées dans les meilleurs délais (article 16 RGPD).

– Le droit de demander à certaines conditions (par exemple lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées) l’effacement de ses données dans les meilleurs délais (article 17 RGPD).

L’information sera généralement fournie sur une base collective par le biais de conditions générales ou d’une déclaration de confidentialité publiée sur le site Internet de l’entreprise.

4. LE CONSENTEMENT

Tout traitement de données personnelles doit être licite, c’est-à-dire qu’il doit reposer sur un intérêt public ou privé prépondérant (par exemple en vue de la conclusion d’un contrat), être justifié par la loi (par exemple pour les obligations en matière de blanchiment d’argent) ou par le consentement de la personne visée.

A cet égard, le consentement doit être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant, par exemple au moyen d’une déclaration écrite, y compris par voie électronique, ou d’une déclaration orale (ce qui pose un problème de preuve) pour une ou plusieurs finalités spécifiques.

Le consentement devra être explicite en cas de traitement de données sensibles ou en cas de profilage (soit toute forme de traitement automatisé de données à caractère personnel visant à évaluer les aspects personnels relatifs à une personne physique comme pour analyser ou prédire des aspects concernant les préférences ou les centres d’intérêt personnels de la personne concernée ou sa localisation et ses déplacements).

« UN COMPORTEMENT ACTIF DE LA PERSONNE CONCERNÉE SERA REQUIS POUR OBTENIR SON CONSENTEMENT. UN CONSENTEMENT TACITE, UNE CASE PRÉ-COCHÉE OU LA PASSIVITÉ DE LA PERSONNE CONCERNÉE NE SUFFIRA PLUS. »

La personne concernée pourra en tout temps révoquer son consentement.