-
- Art. 5a Cst.
- Art. 6 Cst.
- Art. 10 Cst.
- Art. 16 Cst.
- Art. 17 Cst.
- Art. 20 Cst.
- Art. 22 Cst.
- Art. 29a Cst.
- Art. 30 Cst.
- Art. 32 Cst.
- Art. 42 Cst.
- Art. 43 Cst.
- Art. 43a Cst.
- Art. 55 Cst.
- Art. 56 Cst.
- Art. 60 Cst.
- Art. 68 Cst.
- Art. 75b Cst.
- Art. 96 al. 2 lit. a Cst.
- Art. 110 Cst.
- Art. 117a Cst.
- Art. 118 Cst.
- Art. 123b Cst.
- Art. 136 Cst.
- Art. 166 Cst.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 84 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 701 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Dispositions transitoires relatives à la révision du droit de la société anonyme du 19 juin 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 LDP
- Art. 10 LDP
- Art. 10a LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b PRA
- Art. 59c LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 5 lit. f und g LPD
- Art. 6 al. 6 et 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 19 LPD
- Art. 20 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 31 al. 2 let. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 54 LPD
- Art. 58 LDP
- Art. 57 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 2 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 3 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 4 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 5 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 6 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 7 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 8 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 9 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 11 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 12 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 25 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 29 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 32 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 33 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 34 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
CONSTITUTION FÉDÉRALE
CODE DES OBLIGATIONS
LOI FÉDÉRALE SUR LE DROIT INTERNATIONAL PRIVÉ
CONVENTION DE LUGANO
CODE DE PROCÉDURE PÉNALE
CODE DE PROCÉDURE CIVILE
LOI FÉDÉRALE SUR LES DROITS POLITIQUES
CODE CIVIL
LOI FÉDÉRALE SUR LES CARTELS ET AUTRES RESTRICTIONS À LA CONCURRENCE
LOI FÉDÉRALE SUR L’ENTRAIDE INTERNATIONALE EN MATIÈRE PÉNALE
LOI FÉDÉRALE SUR LA PROTECTION DES DONNÉES
LOI FÉDÉRALE SUR LA POURSUITE POUR DETTES ET LA FAILLITE
CODE PÉNAL SUISSE
CYBERCRIME CONVENTION
ORDONNANCE SUR LE REGISTRE DU COMMERCE
- En bref
- I. Généralités
- II. Infractions commises dans des entreprises commerciales
- Bibliographie
- Matériaux
En bref
La responsabilité du chef d'entreprise est introduite dans la LPD par le biais d'un renvoi à deux dispositions isolées de la loi fédérale sur le droit pénal administratif (DPA). L'art. 64 permet, dans certaines circonstances, de répercuter sur l'entreprise une amende infligée à la personne physique responsable en cas d'infraction commise dans le cadre de l'exploitation d'une entreprise, si cette amende s'élève à 50 000 francs au maximum.
I. Généralités
1 Comme il incombe aux cantons de poursuivre et de juger les infractions au sens du chapitre 8 (art. 65 al. 1), la loi fédérale du 22 mars 1974 sur le droit pénal administratif (DPA) n'est en principe pas applicable (art. 1 DPA e contrario). Or, l'art. 64 al. 1 renvoie expressément aux art. 6 et 7 DPA en ce qui concerne les infractions commises dans les entreprises.
2 Le renvoi à l'art. 6 DPA (détermination de la personne responsable d'une infraction commise dans une entreprise) et à l'art. 7 DPA (responsabilité subsidiaire de l'entreprise) introduit la responsabilité du chef d'entreprise dans la LPD. Cela doit permettre "une attribution appropriée de la responsabilité pénale dans les entreprises", c'est-à-dire à son niveau de direction (personnes dirigeantes ayant le pouvoir de décider et de donner des instructions).
3 Le montant maximal de l'amende selon l'al. 2 (qui modifie la disposition de l'art. 7 DPA), jusqu'auquel l'entreprise (au lieu de la personne physique) doit pouvoir être condamnée au paiement de l'amende, était encore fixé à 100 000 francs dans l'art. 53 AP-LPD. Des déclarations controversées lors de la procédure de consultation ont conduit à ce que le montant maximal de l'amende soit finalement fixé à 50 000 francs. Le montant maximal de l'amende, substantiellement plus élevé que celui de l'art. 7 DPA, s'explique par le fait que le cadre des amendes en cas d'infraction à la LPD (amendes jusqu'à 250 000 francs) dépasse largement le montant prévu à l'art. 7 DPA (5 000 francs) et que le montant maximal de l'amende a dû être augmenté pour qu'il y ait encore une place dans la pratique pour l'application de la disposition de l'art. 64, al. 2.
II. Infractions commises dans des entreprises commerciales
A. Applicabilité des art. 6 et 7 DPA (al. 1)
4 L'art. 64 al. 1 renvoie, pour les "infractions commises dans une entreprise", aux art. 6 et 7 DPA, et donc à deux articles isolés au sein du DPA. Le calcul de l'amende ne se base donc pas sur l'art. 8 DPA, mais sur l'art. 106 al. 3 CP. Etant donné que, selon son art. 1, la DPA ne s'applique en principe pas aux infractions à la LPD passibles de sanctions pénales, ce renvoi explicite est nécessaire si l'on veut également introduire une sorte de "responsabilité du chef d'entreprise" dans la LPD (cf. aussi ci-dessus, n. 1 ss).
5 Par "entreprise commerciale", on entend toute activité entrepreneuriale dans laquelle on participe activement à la vie économique en utilisant du capital et du travail. Il s'agit donc d'infractions commises dans l'exercice d'activités économiques au sein d'une entreprise. L'art. 6 al. 1 DPA ne couvre pas les actes commis à la seule occasion de l'exercice d'activités commerciales.
6 L'art. 6 al. 1 DPA établit le principe dit de l'auteur : est auteur celui qui a commis l'infraction. Est par exemple punissable l'employé qui, sans y avoir été invité par un supérieur hiérarchique et sans y avoir été autorisé, utilise pour l'exercice de son activité un outil d'un fournisseur de services en ligne dans le cadre duquel des données personnelles sont traitées, mais qui ne s'est pas soucié de conclure un contrat de traitement des données de commande juridiquement suffisant (punissabilité selon l'art. 61 al. 1 let. b). Un autre exemple serait la divulgation non autorisée de données personnelles secrètes par un collaborateur à un tiers dans l'exercice de sa profession (punissabilité selon l'art. 62).
7 La condition préalable à la responsabilité de l'employeur (responsabilité de l'employeur au sens de l'art. 6 al. 2 DPA) est, d'un point de vue objectif, l'existence d'une obligation de garantie, celle-ci ne pouvant pas être déduite de l'art. 6 al. 2 DPA, mais découlant "de la responsabilité pour l'entreprise en tant que source de danger et/ou de la responsabilité pour le comportement des subordonnés". On peut penser ici par exemple à un responsable de la conformité qui est contractuellement responsable de la garantie du respect des exigences légales en matière de protection des données dans l'entreprise ou au responsable du personnel qui est contractuellement responsable du traitement des données du personnel. Une délégation de responsabilité est autorisée par la loi, la personne qui délègue restant responsable de la sélection, de l'instruction et de la surveillance de la personne concernée. Une autre condition préalable est l'existence d'un pouvoir d'action de la part de l'employeur : pour que la responsabilité de l'employeur s'applique, l'employeur doit avoir eu la possibilité d'empêcher l'acte ou d'en supprimer les effets. D'un point de vue subjectif, l'art. 6 al. 2 DPA exige l'intention ou la négligence. Dans le cas d'infractions causales qui (comme les dispositions pénales du chapitre 8 de la LPD) sont conçues comme des délits intentionnels, la question de savoir s'il suffit que l'employeur n'ait pas empêché l'infraction ou n'en ait pas annulé les effets par simple négligence pour que la responsabilité de l'employeur soit applicable et donc pour que celui-ci soit punissable est controversée. Selon l'opinion défendue ici, pour que la responsabilité de l'employeur soit applicable à de tels actes, il faut que l'employeur ait violé son devoir de garant au moins par dol éventuel. Si l'auteur direct (qui a commis l'infraction) n'a agi que par négligence, la responsabilité de l'apporteur d'affaires est d'emblée exclue pour de tels actes occasionnels.
8 Si le chef d'entreprise, l'employeur, le mandant ou le représenté est une personne morale, une société en nom collectif ou en commandite, une entreprise individuelle ou une collectivité de personnes sans personnalité juridique, l'art. 6 al. 2 DPA s'applique "aux organes, membres d'organes, associés gérants, personnes effectivement dirigeantes ou liquidateurs coupables" (art. 6 al. 3 DPA ; cf. aussi art. 29 CP).
B. Condamnation de l'entreprise à une amende (al. 2)
1. généralités
9 L'art. 64 al. 2 se base sur la disposition de l'art. 7 al. 1 DPA, mais adapte le champ d'application à l'amende maximale prévue par la LPD et parle de manière plus générique de "l'entreprise commerciale" au lieu de la "personne morale", de la "société en nom collectif ou en commandite" et de la "raison individuelle" (cf. aussi ci-dessus, n. 3 et n. 5).
10 Selon l'art. 64 al. 2, une amende peut être infligée à une entreprise (en lieu et place des personnes physiques punissables) en cas d'infraction pénale commise dans le cadre de l'exploitation de l'entreprise (par une ou plusieurs personnes physiques ; cf. ci-dessous, n. 11 s.), si
une amende de 50 000 francs au maximum entre en ligne de compte (cf. ci-dessous, n. 13 s.) et (de manière cumulative)
l'identification des personnes punissables selon l'art. 6 DPA nécessiterait des mesures d'instruction qui seraient disproportionnées par rapport à la peine infligée (à ce sujet, n. 15 s. infra).
2. Infraction dans l'exploitation commerciale
11 Pour que l'entreprise soit condamnée à une amende, il faut tout d'abord qu'il y ait une "infraction dans l'exploitation de l'entreprise". Tous les éléments constitutifs objectifs et subjectifs de l'infraction pour laquelle l'entreprise doit être condamnée à une amende doivent être remplis et il ne doit pas y avoir de motifs de justification ou d'exclusion de la culpabilité. Concernant la notion d'"entreprise commerciale", voir ci-dessus, n. 5.
12 Dans la pratique, les éléments subjectifs de l'infraction ne pourront toutefois pas être prouvés, car les personnes physiques punissables ne sont justement pas identifiables. Pour surmonter cet obstacle et ne pas exclure d'emblée l'application de l'art. 64, il convient d'"objectiver" la faute ou d'assouplir les exigences en matière de preuve des éléments subjectifs de l'infraction, par exemple en permettant à l'autorité pénale de se contenter de constater "que l'intention ressort clairement de l'acte commis". En tout état de cause, il n'y a pas de place pour l'application de l'article 64 s'il est établi que l'élément subjectif de l'infraction n'est pas réalisé chez les personnes présumées coupables au sein de l'entreprise.
3. Amende de 50 000 francs au maximum
13 Selon l'art. 7 al. 1 DPA, le montant de l'amende jusqu'à concurrence duquel il est possible de condamner une entreprise plutôt qu'une personne physique au paiement d'une amende est de 5 000 francs. Cette limite supérieure correspond à la moitié du montant maximal de l'amende de 10 000 francs prévu par l'art. 106 al. 1 CP. En dérogation à l'art. 106 al. 1 CP, le montant maximal de l'amende dans le domaine d'application de la LPD (selon les art. 60 à 63) est de 250 000 francs. Compte tenu de ce montant maximal nettement plus élevé, il s'imposait d'augmenter également la limite supérieure du montant de l'amende jusqu'à laquelle une condamnation d'une entreprise commerciale est possible. Selon l'art. 64 al. 2, ce plafond est de 50 000 francs, ce qui correspond à 1/5 du montant maximal de l'amende de 250 000 francs.
14 Selon l'art. 106 al. 3 CP, le juge doit, pour déterminer le montant de l'amende, tenir compte de la situation de l'auteur "afin que celui-ci subisse la peine correspondant à sa faute". Comme l'auteur de l'infraction ne peut justement pas être identifié, l'amende doit être calculée sur la base d'une faute objective. Les circonstances de l'infraction concrète sont déterminantes, comme par exemple l'absence de structuration interne de l'entreprise en différents domaines de responsabilité.
4. Les mesures d'enquête visant à identifier les personnes punissables seraient disproportionnées.
15 Les circonstances du cas d'espèce sont également importantes pour déterminer si des mesures d'enquête visant à identifier les personnes punissables seraient disproportionnées par rapport à la peine prononcée. L'article 64, al. 2, étant une disposition "potestative", les autorités pénales disposent d'un pouvoir d'appréciation relativement important pour déterminer si cette disposition doit être appliquée (et donc aussi pour répondre à la question de savoir si des mesures d'enquête visant à identifier les personnes punissables seraient disproportionnées). Il n'existe pas de droit à l'application de l'art. 64 al. 2, mais l'autorité pénale ne peut pas non plus simplement choisir entre une action contre les personnes physiques punissables et contre l'entreprise commerciale. Avant que l'autorité pénale compétente puisse envisager de sanctionner l'entreprise commerciale sur la base de l'article 64, elle doit procéder à "un minimum de mesures d'enquête" pour identifier les personnes physiques punissables ; il n'est pas acceptable que l'autorité pénale se fonde sur l'article 64 par pure commodité. La question de savoir si des mesures d'enquête (supplémentaires) seraient disproportionnées doit également être évaluée au regard du montant de l'amende (potentielle) infligée, pour laquelle les investigations doivent en tout cas être suffisamment poussées pour que le montant puisse être évalué au moins grossièrement.
16 En ce qui concerne les infractions à la LPD passibles de sanctions pénales, il sera souvent possible de déterminer clairement, du point de vue de l'organisation, ou du moins relativement facilement dans le cas concret, qui a effectué les actes concernés (p. ex. réponse à une demande de renseignements ou validation de la déclaration de protection des données). Dans cette mesure, la pertinence pratique de la disposition de l'article 64 devrait être plutôt faible ; les condamnations d'entreprises commerciales au paiement d'une amende devraient rester l'exception.
5. Transfert de l'amende
17 Si les conditions susmentionnées sont remplies, l'autorité pénale compétente peut répercuter l'amende sur l'entreprise. Lors de la détermination du montant de l'amende, ce sont la faute et la situation financière de la ou des personnes physiques réellement punissables qui sont déterminantes, et non pas celles de l'entreprise commerciale.
18 Si seules certaines personnes physiques responsables de l'infraction peuvent être identifiées, mais pas d'autres, il est contestable qu'il soit possible de répercuter l'amende sur les personnes non identifiées. Il est plus juste d'exiger qu'un transfert soit également possible dans cette constellation.
Bibliographie
Beretta Allison, Sanctionner en vertu des art. 6 et 7 DPA, in: Jusletter vom 8.7.2019, 64, https://jusletter.weblaw.ch/juslissues/2019/986/sanctionner-en-vertu_20314b3ff6.html, besucht am 8.8.2023.
Macaluso Alain/Garbarski Andrew M., Kommentierung zu Art. 7 VStrR, in: Frank Friedrich/Eicker Andreas/Markwalder Nora/Achermann, Jonas (Hrsg.), Basler Kommentar, Verwaltungsstrafrecht, Basel 2020.
Rosenthal David/Gubler Seraina, Die Strafbestimmungen des neuen DSG, SZW 1/2021, S. 52 ff.; Schwob Renate, Kommentierung zu Art. 6 VStrR, in: Frank Friedrich/Eicker Andreas/Markwalder Nora/Achermann, Jonas (Hrsg.), Basler Kommentar, Verwaltungsstrafrecht, Basel 2020.
Wohlers Wolfgang, Kommentierung zu Art. 64 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski, Dominika (Hrsg.), Stämpflis Handkommentar, Datenschutzgesetz, 2. Aufl., Bern 2023.
Matériaux
Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.9.2017, BBl 2017 S. 6941 ff. (zit. Botschaft 2017), abrufbar unter https://www.admin.ch/opc/de/federal-gazette/2017/6941.pdf, besucht am 8.8.2023.
Erläuternder Bericht des Bundesamts für Justiz BJ zum Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderung weiterer Erlasse zum Datenschutz vom 21.12.2016, abrufbar unter https://www.bj.admin.ch/dam/bj/de/data/staat/gesetzgebung/datenschutzstaerkung/vn-ber-d.pdf.download.pdf/vn-ber-d.pdf (zit. Erläuternder Bericht VE-DSG), besucht am 8.8.2023.
Zusammenfassung des Bundesamts für Justiz BJ der Ergebnisse des Vernehmlassungsverfahrens vom 10.8.2017 betreffend Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderung weiterer Erlasse zum Datenschutz vom 21.12.2016 (zit. Zusammenfassung Vernehmlassung VE-DSG), abrufbar unter https://www.bj.admin.ch/dam/bj/de/data/staat/gesetzgebung/datenschutzstaerkung/ve-ber-d.pdf.download.pdf/ve-ber-d.pdf, besucht am 8.8.2023.