En bref

1 L'art. 52, al. 1, LPD définit les règles selon lesquelles le Préposé fédéral à la protection des données et à la transparence (PFPDT) mène les procédures formelles. Cette disposition est une norme de renvoi et stipule que les enquêtes au sens de l'art. 49 LPD ainsi que les décisions rendues en vertu des art. 50 et 51 LPD sont régies par les règles de la PA. A contrario, les autres activités du PFPDT ne sont pas soumises à la PA, notamment les clarifications préalables informelles, les interventions à seuil bas ou les activités de conseil et de surveillance. Il est à noter que la PA est également mentionnée pour les procédures contre des organes fédéraux et que le PFPDT peut « rendre des décisions » à l'encontre de ces derniers selon les règles de la PA.

2 Al. 2, précise que seul l'organe fédéral ou la personne privée contre lequel ou laquelle une enquête a été ouverte a la qualité de partie. Le cercle des parties possibles dans les procédures formelles de l'PFPDT est ainsi restreint par rapport aux dispositions de la PA.

3 Al. 3, constitue la base légale qui accorde à l'PFPDT un droit de recours devant le Tribunal fédéral contre les décisions du Tribunal administratif fédéral.

I. Remarques générales sur la procédure

4 En vertu de l'aDSG, le PFPDT a mené, de 1993 à 2023, des enquêtes factuelles qu'il a conclues par un rapport final et des recommandations. La PA n'était pas applicable à ces procédures, car le PFPDT n'était pas compétent pour rendre des décisions. Si une telle recommandation du préposé n'était pas suivie ou était rejetée, le PFPDT pouvait soumettre l'affaire au Tribunal administratif fédéral pour décision.

5 Avec la révision totale de la LPD, entrée en vigueur le 1er septembre 2023, le PFPDT a désormais une compétence décisionnelle, raison pour laquelle il clôture depuis l'entrée en vigueur de la LPD révisée une procédure formelle par une décision. À l'occasion de la Journée internationale de la protection des données, le PFPDT a publié en janvier 2025 son premier bilan intermédiaire chiffré. Selon ce bilan, le PFPDT a reçu, entre le 1er septembre 2024 et le 21 janvier 2025, 1406 communications pour violation de la LPD, dont 479 étaient en cours de traitement au moment de la publication. Les mesures de surveillance se répartissaient comme suit :

• Interventions à bas seuil : 116

• dont environ 90 % ont été suivies volontairement par les responsables

• Enquêtes préliminaires : 16

• Enquêtes en cours / pendantes devant le TAF : 8 / 2

• Campagnes 2

6 Les chiffres publiés montrent que les activités de surveillance du PFPDT ne conduisent qu'à l'ouverture d'une enquête formelle dans des cas isolés et que l'intervention à bas seuil constitue le principal instrument de surveillance. Dans la pratique, le PFPDT intervient donc généralement après réception d'une plainte sans ouvrir d'enquête formelle.

7 Les conditions pour l'ouverture d'une enquête sont fixées à l'art. 49, al. 1, LPD. Selon cette disposition, le PFPDT ouvre d'office ou sur plainte une enquête lorsqu'il existe des indices suffisants qu'un traitement de données pourrait contrevenir aux dispositions sur la protection des données. Dès que le PFPDT ouvre une enquête en vertu de l'art. 49 LPD, la PA est applicable. C'est le cas dès qu'il a décidé en interne d'ouvrir une procédure. Cela peut intervenir avant, pendant ou après une intervention informelle du PFPDT.

8 Conformément à la pratique, l'ouverture de la procédure est communiquée à la partie par lettre d'ouverture. L'ouverture de la procédure ne constitue pas une décision susceptible de recours. Enfin, la procédure est close ou classée par une décision au sens de l'art. 51 LPD.

9 Du point de vue du responsable, il est important de savoir si une procédure a été ouverte ou non. Après l'ouverture de la procédure, les parties sont soumises à l'obligation de collaborer sous peine de sanctions pénales (art. 60, al. 2, LPD). A contrario, la collaboration n'est pas obligatoire avant l'ouverture d'une enquête. En cas de refus ou de coopération insuffisante des responsables dans le cadre d'une enquête préliminaire ou d'une intervention à bas seuil, les conditions prévues à l'art. 49 al. 1 LPD sont toutefois régulièrement remplies, de sorte que les faits peuvent être établis sur la base de l'obligation de collaborer (art. 49 al. 3 LPD) ou à l'aide de mesures de contrainte (art. 50 al. 1 LPD). Le PFPDT peut percevoir des émoluments pour ces actes (art. 59 al. 1 let. d LPD), raison pour laquelle il est généralement dans l'intérêt du responsable de coopérer volontairement avec le PFPDT avant l'ouverture d'une enquête.

10 Le principe du droit d'être entendu, inscrit à l'art. 29, al. 2, Cst. et concrétisé aux art. 29 ss PA, garantit aux parties un droit de participation à la procédure lié à la personnalité. Elles doivent pouvoir s'exprimer sur le fond avant que la décision ne soit rendue, produire des preuves pertinentes, participer à l'administration des preuves ou, à tout le moins, s'exprimer sur le résultat de l'administration des preuves. En d'autres termes, la partie concernée doit avoir la possibilité de prendre position sur les points essentiels avant qu'une décision ne soit rendue. Cela comprend en premier lieu les faits pertinents prévus. En conséquence, les parties ne peuvent se prononcer que sur les faits prévus avant que la décision ne soit rendue ; l'appréciation juridique prévue n'est en revanche pas couverte par le droit d'être entendu. Ce n'est que dans des cas exceptionnels – par exemple lorsque le PFPDT prévoit d'appliquer des dispositions spéciales inattendues – que le droit d'être entendu peut également s'étendre aux dispositions applicables prévues et à la motivation juridique prévue. L'appréciation juridique du PFPDT est communiquée aux parties dans la décision motivée. Si une partie n'est pas d'accord avec la motivation juridique du PFPDT, elle peut former recours.

II. Renvoi à la PA (al. 1)

A. Procédure selon la PA contre des particuliers

11 La PA s'applique, en vertu de l'art. 1, al. 1 et al. 2, let. c, PA, aux procédures devant le PFPDT dans lesquelles celui-ci rend une décision en première instance. Il n'y a pas d'exception au sens des art. 2 ss PA. L'art. 52 al. 1 LPD constitue donc une norme de renvoi déclaratoire à l'égard des particuliers et sert à clarifier la situation.

B. Procédure selon la PA contre des organes fédéraux

12 Avant la révision totale de la LPD, la surveillance des organes fédéraux et des particuliers était régie par deux dispositions distinctes, qui différaient notamment en ce qui concerne les conditions d'ouverture d'une enquête. Dans la LPD révisée, l'enquête sur les violations des dispositions de la protection des données est désormais réglée dans une section (art. 49 ss) commune aux organes fédéraux et aux particuliers. Il est à noter qu'à quelques exceptions près, aucune règle différente n'a été légiférée pour la procédure contre les organes fédéraux ou les particuliers.

13 Selon la jurisprudence constante et la doctrine, sont considérées comme des décisions au sens de l'art. 5 PA les décisions autoritaires, unilatérales, concrètes et individuelles rendues par une autorité en application du droit administratif, qui ont pour but de produire des effets juridiques et qui sont contraignantes et exécutoires. La procédure d'adoption d'une décision présuppose l'existence d'un rapport de souveraineté entre une autorité et un particulier. Les injonctions du PFPDT à l'égard d'autres organes fédéraux ne remplissent donc pas toutes les caractéristiques structurelles de la notion de décision, en raison de l'absence de rapport entre l'autorité et le particulier. Dans la mesure où le PFPDT mène une procédure contre un organe fédéral, la procédure « est régie » par la PA conformément à l'art. 49 LPD, l'art. 52 al. 1 LPD correspondant dans ce domaine à une norme de renvoi constitutive et les dispositions de la PA s'appliquant par analogie.

14 La compétence du PFPDT de rendre des décisions à l'encontre d'organes fédéraux découle, d'une part, du libellé de nombreuses dispositions légales qui visent expressément les organes fédéraux et les particuliers et établissent une distinction pertinente entre les organes fédéraux et les particuliers. D'autre part, le législateur a délibérément harmonisé les procédures à l'encontre des particuliers et des organes fédéraux, qui étaient encore différentes sous l'ancien droit. Enfin, le législateur a aligné les pouvoirs d'enquête et les mesures administratives sur les exigences européennes afin de garantir que la Commission européenne renouvelle ou maintienne sa décision d'adéquation à l'égard de la Suisse, ce qui revêt une importance capitale pour l'économie suisse en particulier.

15 Outre le PFPDT, aucune autre unité administrative ne semble pouvoir statuer sur d'autres unités administratives selon les règles de la PA. Le Contrôle fédéral des finances, en tant qu'autorité de surveillance comparable, peut certes demander et faire appliquer des mesures à l'encontre d'autres autorités fédérales qui ne lui sont pas subordonnées hiérarchiquement, mais pas selon les règles de la PA.

16 Selon l'avis défendu ici, une injonction du PFPDT au sens de l'art. 51 LPD à l'encontre d'organes fédéraux équivaut à une « fausse décision », car si, d'une part, les conditions matérielles d'une décision au sens de l'art. 5 PA ne sont pas remplies, d'autre part, les organes fédéraux se voient imposer par analogie les mêmes droits et obligations que les destinataires privés d'une décision. Avec cette norme de renvoi constitutive, le législateur a réglementé de manière pragmatique les règles de procédure que le PFPDT, en tant qu'autorité de surveillance, doit respecter lorsqu'il mène une enquête à l'encontre d'organes fédéraux et qu'il rend et fait exécuter des injonctions contraignantes.

17 Il est à noter que le projet de révision de la loi sur la protection des données de 2014 établissait encore une distinction entre les enquêtes menées à l'encontre de particuliers et celles menées à l'encontre d'organes de la Confédération. Il proposait un modèle selon lequel le PFPDT devait d'abord formuler une recommandation à l'organe de la Confédération concerné et ne pouvait rendre une décision qu'après le rejet ou le non-respect de cette recommandation. Cette variante ralentit la procédure en raison d'étapes intermédiaires inutiles. Le rapport explicatif relatif à l'avant-projet de révision totale de la LPD de 2016 ne fait déjà plus de distinction entre les procédures à l'encontre de particuliers et celles à l'encontre d'organes fédéraux.

18 Il convient de distinguer les procédures de PFPDT à l'art. 49 LPD à l'encontre d'organes fédéraux de l'entraide administrative. Les autorités fédérales qui collaborent dans le cadre de l'entraide administrative sont sur un pied d'égalité sur le plan organisationnel, de sorte qu'il n'existe aucun rapport de subordination entre elles et que la collaboration se fait dans un esprit de partenariat. Si le PFPDT ouvre une procédure contre un organe fédéral sur la base de l'art. 49 LPD et demande des documents à l'organe fédéral soumis à l'enquête, cela ne relève pas de l'entraide administrative, de sorte que l'art. 36a LTAF n'est pas applicable. Dans le cadre d'une procédure, les autorités fédérales qui font l'objet d'une enquête sont soumises à l'obligation de collaborer, ce qui crée un rapport de subordination dans de tels cas, car c'est le seul moyen pour le PFPDT de contrôler et de faire respecter efficacement les prescriptions en matière de protection des données par les autorités fédérales.

19 L'application par analogie des dispositions de la PA aux procédures contre les organes fédéraux conduit notamment aux différences suivantes par rapport aux procédures à l'encontre des particuliers :

20 La violation de l'obligation de collaborer n'est pas punissable pour les organes fédéraux selon le libellé de l'art. 60, al. 2, LPD, qui s'adresse expressément aux seuls particuliers. Cette exclusion est judicieuse, car une application aux organes fédéraux serait totalement contraire au système.

21 Le PFPDT ne peut percevoir d'émoluments auprès des organes de la Confédération, en particulier pour l'ordonnance de mesures provisionnelles et de mesures au sens de l'art. 51 LPD. Selon le libellé de l'art. 59, al. 1, LPD, la perception d'émoluments vise exclusivement les particuliers. Cette exclusion est également logique, car la perception d'émoluments auprès des organes de la Confédération serait là encore contraire au système.

22 Selon le texte de la loi, le PFPDT peut également faire appel à d'autres autorités fédérales ainsi qu'aux organes de police cantonaux ou communaux afin de pouvoir exécuter ou faire exécuter les mesures ordonnées en vertu de l'art. 50 al. 1 LPD. Étant donné que les autorités fédérales peuvent faire valoir les droits qui leur sont reconnus par la LPD et la PA et que le PFPDT peut informer le public de la constatation du non-respect de la loi par un organe fédéral en vertu de l'art. 57, al. 2, LPD, cette possibilité ne sera probablement utilisée que dans des situations exceptionnelles. En ce qui concerne le recours à des moyens de contrainte au sens de l'art. 50, al. 3, LPD, il n'y a donc aucune différence avec les particuliers, de sorte que, selon l'avis défendu ici, le PFPDT peut également recourir à des moyens de contrainte à l'encontre des organes fédéraux.

23 Concernant la qualité en tant que partie des organes fédéraux, voir les explications relatives à l'al. 2.

C. Délimitations

1. À propos de l'« enquête préalable informelle »

24 Avant d'ouvrir une enquête au sens de l'art. 49 LPD et d'appliquer les dispositions de la PA, le PFPDT intervient souvent de manière informelle dans un premier temps. Son intervention fait généralement suite à une plainte ou à des informations parues dans les médias, qui ne contiennent toutefois pas suffisamment d'indices pour justifier l'ouverture directe d'une enquête. C'est pourquoi le PFPDT peut, dans un premier temps, examiner s'il existe des indices suffisants pour ouvrir une enquête. Il peut pour cela recourir à toutes les sources d'information possibles, par exemple examiner des sources publiques ou interroger le ou les responsables, les personnes concernées ou des tiers sur les faits. La phase d'enquête préliminaire relève de l'« activité administrative informelle », au cours de laquelle le PFPDT doit respecter les principes de l'État de droit (cf. art. 5 Cst.) et ne peut agir de manière arbitraire ou en violation du principe d'égalité. Pendant l'enquête préalable informelle, le responsable du traitement n'est soumis à aucune obligation de collaborer et la norme pénale de l'art. 60 al. 2 LPD n'est pas applicable – ces dispositions ne s'appliquent qu'après l'ouverture d'une enquête formelle au sens de l'art. 49 LPD.

25 L'enquête préalable informelle peut aboutir à la réfutation des indices d'une violation présumée de la protection des données, de sorte que le PFPDT n'a pas à intervenir davantage. C'est régulièrement le cas lorsque, par exemple, les faits ont été exposés de manière imprécise dans la plainte. À défaut, une intervention à seuil bas peut être lancée ou une enquête ouverte.

2. L'« intervention à seuil bas »

26 Il convient de distinguer l'enquête préalable informelle de l'instrument de l'« intervention à seuil bas ». Le terme « intervention à seuil bas » ne figure pas dans la loi, mais a été développé par le PFPDT. Alors que la clarification informelle vise à établir les faits afin de déterminer s'il existe des indices suffisants pour ouvrir une enquête au sens de l'art. 49 LPD, l'intervention à seuil bas poursuit un autre objectif. Elle vise à rétablir la légalité au moyen de mesures économiques administratives, telles qu'une simple lettre, en incitant le responsable à prendre volontairement les mesures nécessaires. Toutefois, comme dans le cas de l'enquête préalable informelle, aucune enquête au sens de l'art. 49 LPD n'est ouverte, de sorte que l'intervention à seuil bas doit également être qualifiée d'acte administratif informel et que les dispositions de la PA ne sont pas applicables. Selon l'expérience du PFPDT, les adaptations nécessaires seraient ainsi mises en œuvre en temps utile dans de nombreux cas. Il s'agit ainsi de privilégier une approche axée sur la recherche de solutions et économes en ressources.

27 Par exemple, le PFPDT peut être informé par une communication qu'un responsable n'a pas répondu à une demande de renseignements de la personne à l'origine de la communication. Sur la base d'une ou plusieurs dénonciations de ce type, le PFPDT peut contacter le responsable du traitement et l'inviter à traiter la demande de renseignements concrète de la personne ayant porté plainte et à prendre position sur le déroulement général du traitement des demandes de renseignements. Si la réponse du responsable du traitement permet de conclure qu'à l'avenir, les demandes d'accès seront traitées correctement et dans les délais légaux, il n'est pas nécessaire d'ouvrir une enquête.

28 Si l'intervention à bas seuil ne permet pas de rétablir la conformité avec la protection des données, il existe généralement suffisamment d'indices pour ouvrir une enquête formelle. C'est le cas, par exemple, lorsque, après une intervention à seuil bas, le PFPDT reçoit à nouveau des signalements concernant les mêmes faits. Indépendamment d'une éventuelle intervention en dehors d'une enquête, le PFPDT peut ouvrir une enquête dès qu'il dispose d'indices suffisants.

3. À propos de la campagne

29 Outre la conduite d'enquêtes au sens de l'art. 49 LPD, le PFPDT exerce également des activités de surveillance en vertu de l'art. 4 al. 1 en relation avec l'art. 57 al. 1 let. a, c et g LPD. Le PFPDT qualifie ces activités de campagnes. Du point de vue des responsables, les enquêtes sont menées en fonction des événements, tandis que les prises de contact par l'autorité de protection des données peuvent avoir lieu dans le cadre de campagnes sans événement particulier. Dans le cadre de campagnes, le PFPDT n'intervient donc pas sur la base d'indices concernant une violation concrète de la protection des données chez un responsable concret, mais parce que des problèmes identiques ou similaires ont été constatés à plusieurs reprises dans un domaine relevant de la protection des données. Afin d'assurer un contrôle et une application efficaces des dispositions en matière de protection des données, le PFPDT peut s'adresser simultanément à plusieurs responsables, attirer leur attention sur les problèmes généraux constatés dans un domaine particulier et leur rappeler les exigences applicables. Il peut également annoncer ses futures mesures de surveillance dans un domaine donné.

30 Le PFPDT n'a encore annoncé aucune campagne. Un coup d'œil en Allemagne montre à quoi pourrait ressembler une telle campagne : dans le cadre de ses activités de surveillance, l'Office bavarois de contrôle de la protection des données (BayLDA) effectue divers contrôles ciblés de la protection des données, c'est-à-dire des contrôles sans motif particulier, mais axés sur un domaine spécifique. Il a ainsi vérifié le respect des dispositions relatives à la protection des données lors de la recherche de locataires. À cette fin, des responsables ont été sélectionnés au hasard et contrôlés de manière ciblée quant au respect des conditions de protection des données lors de la recherche de locataires, en devant répondre à un questionnaire dans un délai légal. Cette intervention se fonde notamment sur l'art. 58, al. 1, let. a, RGPD, selon lequel toutes les informations nécessaires à l'exécution des tâches légales doivent être fournies.

31 L'activité de surveillance du BayLDA décrite au point précédent peut, selon sa forme concrète, être qualifiée d'enquête préliminaire informelle ou d'intervention à bas seuil, mais elle s'adresse simultanément à plusieurs responsables dans un domaine déterminé.

32 Contrairement aux autorités européennes de protection des données, qui peuvent, en vertu de l'art. 58, al. 1, let. a, RGPD, exiger toutes les informations nécessaires à l'accomplissement de leurs tâches légales, le PFPDT ne peut, en vertu de l'art. 50 al. 1 let. a LPD, ordonner l'accès à toutes les informations, documents, registres des activités de traitement et données personnelles dans la mesure où ceux-ci sont nécessaires à l'enquête. Bien que l'art. 50 LPD soit censé satisfaire aux exigences européennes, la disposition de la LPD a été restreinte par rapport aux dispositions européennes. Dans le cadre des activités de surveillance du PFPDT, les responsables ne sont pas soumis à l'obligation de collaborer sous peine de sanction prévue à l'art. 60 al. 2 en relation avec l'art. 49 al. 3 LPD et ne sont pas non plus tenus de payer des émoluments (art. 59 al. 1 LPD a contrario).

4. Information du public sur les constatations et les décisions

33 Conformément à l'art. 57 al. 2 LPD, le PFPDT informe le public de ses constatations et décisions dans les cas d'intérêt général. La procédure administrative étant close par la notification de la décision, les dispositions de la PA ne sont plus applicables en vertu de l'art. 52 al. 1 LPD. La publication officielle d'une décision relève de l'activité administrative proprement dite et n'est donc pas susceptible de recours en tant que acte réel. Si le PFPDT et la partie ne s'accordent pas sur la forme ou le mode de publication et que la partie est touchée dans un intérêt digne de protection, une décision susceptible de recours doit être rendue en application de l'art. 25a PA. Cette décision de publication constitue alors une décision au sens de l'art. 5 al. 1 let. c PA, qui oblige la partie à tolérer la publication dans la mesure décidée.

34 Une partie est touchée dans ses intérêts dignes de protection lorsqu'elle fait valoir des secrets d'affaires ou des secrets de fonction qui, selon l'appréciation du PFPDT, n'en constituent pas et ne doivent donc pas, à son avis, être anonymisés ou publiés. Il convient de se référer à la définition de l'art. 7, al. 1, let. g, LTrans.

35 La communication de données personnelles ou de données de personnes morales est soumise aux conditions légales correspondantes.

5. Conseil

36 Dans la pratique, la distinction entre un conseil soumis à émolument au sens de l'art. 59 al. 1 let. e LPD et une clarification préalable informelle ou une intervention à seuil bas peut prêter à confusion. Si, dans le cadre d'une enquête préalable informelle ou d'une intervention à seuil bas, le PFPDT indique au responsable du traitement les mesures à prendre pour que l'on puisse conclure à l'absence de violation de la protection des données ou pour qu'il renonce à ouvrir une enquête, ces indications peuvent être qualifiées d'activités de conseil gratuites. D'un point de vue politico-juridique, une telle procédure devient discutable au plus tard lorsque les responsables sont contactés par le PFPDT après que des violations de la protection des données ont été portées à sa connaissance et qu'ils reçoivent des conseils sur la manière de se mettre en conformité avec la protection des données, et que la mise en conformité est ensuite effectuée volontairement et en temps utile, de sorte que le PFPDT renonce à ouvrir une enquête. Au lieu d'une sanction – sous la forme d'une amende par exemple –, les responsables ont ainsi bénéficié d'un conseil juridique gratuit après qu'une violation de la protection des données a été portée à la connaissance du PFPDT. D'un autre côté, cela correspond exactement au sens d'une intervention à bas seuil, raison pour laquelle cette procédure doit être limitée aux violations d'importance mineure au sens de l'art. 49, al. 2, LPD.

D. Dispositions spéciales par rapport à la PA

37 La LPD contient des dispositions spéciales qui, en tant que lex specialis, priment sur la PA. Les plus importantes sont les suivantes

• Restriction des parties (art. 52, al. 2, LPD)

• Information de la personne qui a porté plainte (art. 49, al. 4, LPD)

• Obligation de collaborer (art. 49, al. 3, LPD)

• Obtention des preuves (art. 50 al. 1 LPD)

• Obtention des preuves par la contrainte (art. 50 al. 3 LPD)

• Information du public (art. 57 al. 2 LPD)

Les dispositions spéciales de la LPD tiennent compte de la position particulière du PFPDT en tant qu'autorité de surveillance, raison pour laquelle les obligations de collaborer et les possibilités d'obtenir des preuves vont plus loin que dans la PA. Il convient de distinguer ces dispositions des droits de collaborer, qui sont régis par les dispositions générales de la PA.

III. Parties à la procédure (al. 2)

A. Aperçu

38 Selon l'art. 52, al. 2, LPD, seule l'autorité fédérale ou la personne privée contre laquelle une enquête a été ouverte est partie. La qualité de partie est donc réglée différemment à l'art. 52, al. 2, LPD et à l'art. 6 PA. Alors que selon la réglementation de la PA, outre le destinataire de la décision, les organisations privées, les associations et les autorités ou les tiers concernés par l'acte administratif peuvent également être parties, la qualité en tant que partie dans la procédure d'enquête du PFPDT est limitée aux organes fédéraux ou aux personnes privées contre lesquels ou contre lesquels une enquête a été ouverte.

39 Une procédure peut être menée contre plusieurs parties, en particulier lorsque les faits à examiner concernent plusieurs parties. Si plusieurs parties sont impliquées dans un traitement, l'information d'une partie dans le cadre de la procédure peut avoir une incidence négative sur la situation de l'autre partie. Afin de garantir le droit d'être entendu dans de telles configurations, une jonction des procédures s'impose. De telles configurations se produisent par exemple lorsque des traitements sont effectués pour le compte d'un responsable par un sous-traitant.

B. Les particuliers en tant que partie

40 Seule la personne privée contre laquelle une enquête a été ouverte est partie. La qualité de partie est ainsi limitée au destinataire matériel de la décision. La personne concernée, même si le PFPDT a ouvert l'enquête à la suite de sa plainte, n'est pas partie à la procédure. Sont considérées comme personnes privées tant les personnes physiques que les personnes morales de droit privé.

41 Toute personne privée peut être partie à une procédure lorsqu'il existe des indices suffisants d'une violation des dispositions sur la protection des données. En effet, dès qu'il ouvre une procédure, le PFPDT peut ordonner des mesures administratives en vertu de l'art. 51 LPD, ce qui affecte les droits et obligations de la partie et remplit les conditions prévues à l'art. 49 LPD et à l'art. 6 PA. Pour ouvrir une procédure à l'encontre d'une personne privée, aucun traitement de données n'est nécessaire de sa part. Cela découle des mesures administratives exemplaires prévues à l'art. 51 LPD, selon lesquelles les mesures prévues à l'art. 7 LPD ou une analyse des conséquences en matière de protection des données peuvent être ordonnées avant qu'un traitement de données n'ait lieu. Cela est possible, par exemple, sur la base de dénonciations ou dans le cadre de projets législatifs, ou lorsque le PFPDT a connaissance de projets d'envergure par le biais des médias.

42 Outre le responsable au sens de l'art. 5, let. j, LPD, les personnes chargées d'un traitement au sens de l'art. 5, let. k, LPD, un conseiller à la protection des données au sens de l'art. 10 LPD et la représentation au sens de l'art. 14 LPD peuvent être considérés comme parties à la procédure, pour autant que l'enquête porte sur une violation des dispositions de la protection des données par la personne privée faisant l'objet de l'enquête.

43 La question de la légitimation passive d'une partie se pose en particulier dans le cas des groupes internationaux,car le responsable du traitement est généralement une personne morale ayant son siège en Irlande. Par exemple, les directives sur la protection des données d'Instagram, Facebook et Threads désignent Meta Platforms Ireland Ltd (MPIL) comme responsable du traitement. MPIL a également désigné un représentant en Suisse et dispose d'une succursale dans ce pays (Facebook Switzerland GmbH). En principe, les trois entités mentionnées peuvent être parties à la procédure. Selon l'avis exprimé ici, les trois entités mentionnées peuvent également être parties à une procédure, pour autant que l'objet de l'enquête relève de leurs responsabilités respectives.

44 Par exemple, une procédure contre la succursale de Meta en Suisse est possible. Même s'il est avancé que la succursale suisse n'a rien à voir avec le traitement en question, car elle agit uniquement en tant que laboratoire de recherche pour l'ensemble du groupe, que les droits de propriété intellectuelle appartiennent à une autre entité et que les demandes de suppression sont également traitées par cette dernière, une procédure contre la succursale en Suisse est possible. Selon l'avis défendu ici, un site en Suisse constitue toujours un lien avec le reste du groupe international et est donc responsable du respect des prescriptions suisses, et par conséquent également de la LPD. Même si le site suisse n'est pas habilité, sur le plan organisationnel, à adapter le traitement des données en question, le PFPDT peut au moins constater la violation et obliger la succursale, par voie de décision, à faire adapter le traitement en question pour les personnes concernées en Suisse par l'intermédiaire de l'organe compétent au sein du groupe, conformément à la protection des données. Les groupes internationaux ne doivent pas pouvoir se soustraire aux obligations suisses en matière de protection des données par le biais de leur organisation interne.

C. Les organes fédéraux en tant que partie

45 Un organe fédéral peut également être partie à une procédure en matière de protection des données. Selon l'art. 5, let. i, LPD, un organe fédéral est une autorité ou un service de la Confédération ou une personne chargée d'une tâche publique. La notion d'organe fédéral correspond à la définition donnée à l'art. 3, let. h, aDSG. Sont considérés comme organes fédéraux les départements et les offices fédéraux ainsi que leurs divisions et sections. En font également partie les établissements et entreprises fédéraux ainsi que les commandements militaires. Sont également considérées comme organes fédéraux toutes les personnes physiques et morales qui traitent des données pour le compte de la Confédération dans l'accomplissement de tâches de droit public. Les organes des cantons et des communes ne sont toutefois pas considérés comme des organes fédéraux, même s'ils accomplissent des tâches fédérales.

46 Dans les procédures qui ne relèvent pas de l'art. 49 LPD, les autorités ou les organes fédéraux n'ont pas qualité de partie au sens de l'art. 6 PA dans les procédures contre des particuliers, en raison du rapport de souveraineté qui les lie à ces derniers, mais ils disposent de compétences similaires et sont désignés comme « instance précédente » dans la procédure de recours. Si le PFPDT ouvre une procédure contre un organe fédéral en vertu de l'art. 49 LPD, cet organe fédéral a, en vertu de la norme de renvoi constitutive, la même position et les mêmes compétences que les particuliers en tant que destinataire matériel de la décision. Par conséquent, l'organe fédéral contre lequel une procédure a été ouverte est partie à la procédure de recours et le PFPDT est l'instance précédente.

IV. Droit de recours du PFPDT (al. 3)

47 Les décisions du PFPDT sont susceptibles de recours conformément à l'art. 44 PA. L'instance de recours est le Tribunal administratif fédéral (art. 47, al. 1, let. b, PA en relation avec les art. 31 et 33, let. d, LTAF). En vertu de l'art. 52 al. 3 LPD, le PFPDT dispose d'un droit de recours contre les décisions du Tribunal administratif fédéral. Il existe ainsi une base légale spéciale au sens de l'art. 89 al. 2 let. d LTF. Pour de plus amples informations, il est renvoyé aux dispositions pertinentes.

L'avis exprimé reflète l'opinion personnelle de l'auteur et n'engage pas le PFPDT.

Bibliographie

Auer Christoph/Müller Markus/Schindler Benjamin (éd.), VwVG Kommentar, 2e éd., Zurich 2019 (cit. : VwVG-Kommentar, collaborateur/collaboratrice).

Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (éd.), Datenschutzgesetz, Stämpflis Handkommentar, 2e éd., Berne 2022 (cit. SHK-DSG, collaborateur/collaboratrice).

Bieri Adrian/Powell Julian (éd.), Commentaire Orell Füssli sur la loi suisse sur la protection des données et autres dispositions, Zurich 2023 (cit. OFK-DSG, collaborateur/collaboratrice).

Blechta Gabor-Paul/Vasella David (éd.), Datenschutzgesetz/Öffentlichkeitsgesetz, DSG/BGÖ. Commentaire bâlois, 4e édition, Bâle 2024 (cit. BSK-LPD, auteur).

Da Molin Luca/Wesiak-Schmidt Kirsten (éd.), Datenschutz im Unternehmen, Praxishandbuch mit Beispielen und Checklisten, Zurich 2023 (cit. : Datenschutz im Unternehmen, auteur).

Lobsiger Adrian, Hohes Risiko – kein Killerargument gegen Vorhaben der digitalen Transformation, SJZ, 2023, p. 311-319 (cit. Lobsiger, hohes Risiko – kein Killerargument).

Métille Sylvain/Meier Philippe (éd.), Commentaire Romand Loi sur la protection des données (LPD), Bâle 2023 (cit. CR-LPD, auteur).

Rosenthal David, La nouvelle loi sur la protection des données, Jusletter, 16.11.2020 (cit. Rosenthal, nDSG).

Waldmann Bernhard/Krauskopf Patrick (éd.), Praxiskommentar Verwaltungsverfahrensgesetz (VwVG), 3e éd., Fribourg et Zurich 2022 (cit. PK VwVG, collaborateur/collaboratrice).

Matériaux

Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.9.2017, BBl 2017 6941 ff., abrufbar https://www.fedlex.admin.ch/eli/fga/2017/2057/de (zit.: Botschaft DSG 2017).

Botschaft zum Bundesgesetz über den Datenschutz (DSG) vom 23.3.1988, BBl 1988 II 413 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/1988/2_413_421_353/de,
(zit.: Botschaft DSG 1988).

Bundesamt für Justiz BJ, Erläuternder Bericht zum Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderungen weiterer Erlasse zum Datenschutzgesetz, 21.12.2016, abrufbar unter https://www.bj.admin.ch/bj/de/home/staat/gesetzgebung/archiv/datenschutzstaerkung.html, (zit.: Erläuternder Bericht Totalrevision DSG).

Bundesamt für Justiz BJ, Normkonzept zur Revision des Datenschutzgesetztes, Bericht der Begleitgruppe Revision DSG, 29.10.2014, abrufbar unter https://www.bj.admin.ch/bj/de/home/staat/gesetzgebung/archiv/datenschutzstaerkung/berichte.html, (zit.: Normkonzept DSG).

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), 31. Tätigkeitsbericht 2023/2024, abrufbar unter https://www.edoeb.admin.ch/de/taetigkeitsbericht-des-edob, (zit.: EDÖB, 31. Tätigkeitsbericht 2023/2024).

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Untersuchungen von Verstössen gegen Datenschutzvorschriften durch den EDÖB, Anwendung von Art. 49-53 des revidierten Datenschutzgesetztes, Stand: Oktober 2024, https://www.edoeb.admin.ch/edoeb/de/home/datenschutz/grundlagen/verstoesse.html,
(zit.: EDÖB Untersuchungen).