En bref

L'article 3 LPD consacre le principe dit des "effets", selon lequel les dispositions de la LPD s'appliquent lorsque les opérations de traitement des données concernées sont "perceptibles" en Suisse. Ainsi, le champ d'application de la LPD ne concerne pas uniquement les opérations de traitement de données purement "suisses", mais également les constellations dans lesquelles un traitement de données est initié à l'étranger, mais dont les conséquences se font sentir en Suisse.

I. Généralités

A. Contexte et objectif de la norme

1 Le droit public ne connaît pas de règles de conflit de lois codifiées, contrairement au droit privé et au droit pénal. Dans la pratique, c'est donc le principe de territorialité qui s'applique en principe aux situations transfrontalières de droit public : Le droit public suisse s'applique toujours lorsqu'une situation se déroule en Suisse.

2 Parmi les critères utilisés pour déterminer le droit applicable, on trouve notamment le domicile ou le lieu de séjour, le lieu d'activité ou le lieu des effets. Selon la jurisprudence du Tribunal fédéral, le principe dit des effets constitue une "expression spéciale" du principe de territorialité : Les faits qui se sont produits à l'étranger peuvent être pris en compte par les autorités suisses s'ils ont "un impact suffisant sur le territoire suisse". Toutefois, la pratique ne définit pas de manière uniforme ce qui constitue un lien suffisant avec la Suisse au sens du principe de l'impact : en général, il est nécessaire que l'impact soit sensible, important, significatif ou considérable.

3 L'article 3 LPD règle l'application locale de la LPD conformément aux principes généraux d'application du droit public et notamment au principe des effets.

B. Historique

4 L'ancienne LPD ne contenait aucune disposition relative au champ d'application local, pas plus que le projet de nouvelle LPD. Dans le cadre des débats parlementaires, il a toutefois été demandé d'introduire une disposition sur le champ d'application territorial - qui correspondrait idéalement à l'art. 3 al. 1 et 2 RGPD. Selon cette disposition, la LPD aurait également dû s'appliquer lorsqu'un responsable du traitement ou un sous-traitant ayant un établissement en dehors de la Suisse traite des données de personnes en Suisse afin de leur proposer des biens ou des services (à titre onéreux ou gratuit) ou d'observer leur comportement en Suisse.

5 Compte tenu des règles de conflit de lois déjà existantes, notamment en droit privé, le législateur est arrivé à la conclusion, lors des délibérations, qu'une inscription du principe des effets défini par la jurisprudence ainsi qu'un renvoi explicite aux dispositions de la loi fédérale du 20 mars 1981 sur l'entraide internationale en matière pénale (EIMP, RS 351.1) ou du droit pénal permettraient de tenir suffisamment compte des préoccupations des personnes concernées par un traitement (international) de données. En conséquence, la réglementation discutée par analogie avec l'art. 3 al. 1 et 2 du DSGVO a été abandonnée.

II. Applicabilité de la LPD selon le principe des effets (art. 3 al. 1 LPD)

6 En vertu du principe de l'effet, les dispositions de la LPD s'appliquent lorsque les opérations de traitement des données concernées ont un impact en Suisse. Ainsi, le champ d'application de la LPD ne concerne pas uniquement les opérations de traitement de données purement "suisses", mais également les constellations dans lesquelles un traitement de données est initié à l'étranger, mais dont les conséquences sont "perceptibles" en Suisse.

III. Règles de conflit de lois dans les opérations de traitement de données de droit privé (art. 3 al. 2 LPD)

7 Dans le contexte du droit privé, la LDIP règle quel droit est applicable aux tribunaux suisses dans les relations internationales ; dans le contexte du droit de la protection des données, il convient de tenir compte de l'art. 139 al. 1 LDIP. Selon cette disposition, la personne lésée dispose d'un large droit de choix quant au droit applicable à son cas. Concrètement, la personne lésée a la possibilité de décider si le droit de l'Etat s'applique,

• dans lequel elle a sa résidence habituelle (al. 1 let. a),

• dans lequel l'auteur de l'atteinte a son établissement ou sa résidence habituelle (al. 1 let. b) ou

• dans lequel le résultat de l'acte de contrefaçon se produit (al. 1 let. c).

8 La personne lésée a ainsi la possibilité de choisir la loi qui lui est la plus favorable. Afin de préserver cet avantage, la LPD stipule explicitement que la LDIP doit s'appliquer aux prétentions de droit privé.

IV. règles de conflit de lois pénales (art. 3 al. 2 LPD)

9 Les dispositions pénales de la LPD (art. 60 ss.) font partie du droit pénal accessoire, de sorte que leur application territoriale est déterminée par les principes du CP (cf. art. 333 al. 1 en relation avec l'art. 104 et art. 3 ss. CP) : Selon le principe de protection individuelle ancré dans le CP, est en principe punissable celui qui porte atteinte à l'étranger aux biens juridiques de ressortissants suisses. Au vu de cette règle de conflit déjà existante, la LPD renvoie au code pénal et ne contient pas de directives propres sur le champ d'application territorial dans le contexte du droit pénal.

Dans ce commentaire, l'auteur donne son appréciation personnelle.

Bibliographie

Rudin Beat, Kommentierung zu Art. 3 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, 2. Aufl., Bern 2023.

Häfelin Ulrich/Müller Georg/Uhlmann Felix, Allgemeines Verwaltungsrecht, 8. Aufl. 2020, Zürich/St. Gallen.