Une personne poursuivie pénalement peut-elle obtenir de la FINMA, sur la base de la LPD, les pièces d’une procédure d’enforcement visant une banque ? Non, lorsque la demande sert en réalité à préparer sa défense pénale et à intervenir dans la procédure d’enforcement (TAF, A-1251/2024, A-1692/2024 du 16 septembre 2026).

Un avocat australien, qui administre trois sociétés offshore, dispose d’un compte bancaire auprès d’une banque suisse. Le 28 octobre 2020, le Ministère public genevois ouvre contre lui une procédure pénale pour blanchiment de fraude fiscale. Celle-ci vise aussi un ressortissant américain, soupçonné d’avoir dissimulé environ USD 2 milliards, notamment auprès de cette banque, avec l’assistance de l’avocat. La FINMA ouvre une procédure d’enforcement contre la banque et échange des informations avec le Ministère public.

Le 16 février 2022, l’avocat et ses sociétés demandent à la FINMA l’accès à toutes leurs données (art. 8 aLPD). Ils souhaitent les recevoir avant une audience pénale fixée au 18 mars 2022. Entre mai 2022 et février 2024, la FINMA leur transmet 3 250 documents caviardés, en huit envois. Invoquant un risque de collusion, elle diffère d’abord l’accès aux pièces de la procédure d’enforcement, close le 16 juin 2023. En janvier et février 2024, elle remet le rapport du chargé d’enquête, sa décision et les prises de position de la banque, caviardés.

Les requérants recourent au Tribunal administratif fédéral (TAF) contre ces deux derniers envois. Ils dénoncent un accès incomplet et des caviardages excessifs. Leur but serait de vérifier les données de la banque à leur sujet et, le cas échéant, de les faire rectifier avant leur transmission au Ministère public.

Le TAF qualifie d’abord les deux courriers de la FINMA de décisions (art. 5 PA). Il rejette ensuite les recours des sociétés. En effet, la nouvelle LPD, applicable en raison de l’art. 70 LPD, ne protège plus les personnes morales. Le TAF écarte l’avis contraire de l’Office fédéral de la justice, lequel considérait que l’ancien droit devait continuer à s’appliquer puisque la demande d’accès des sociétés avait été déposée avant le 1^er septembre 2023.

L’art. 26 al. 1 let. c LPD permet de refuser, de restreindre ou de différer l’accès lorsque « la demande d’accès est manifestement infondée notamment parce qu’elle poursuit un but contraire à la protection des données ou est manifestement procédurière ». Sous l’aLPD, le Tribunal fédéral jugeait abusive la demande visant exclusivement à se procurer des preuves en vue d’un procès (ATF 138 III 425, commenté in Fischer, cdbf.ch/821/).

En l’espèce, le TAF retient que les recourants « ne poursuivaient aucun but lié à la protection des données ». Ils voulaient d’abord obtenir, avant l’audience pénale, des pièces auxquelles l’avocat n’aurait accès que plus tard dans la procédure pénale. Leur second but était d’intervenir dans une procédure d’enforcement à laquelle ils n’étaient pas parties, pour faire corriger les déclarations de la banque avant leur transmission au Ministère public. Or, même une partie à l’enforcement ne peut s’opposer à cette transmission.

Selon le TAF, trois indices confirment cette conclusion : (i) le volume des requêtes, assimilé à une fishing expedition, non motivé par un but lié à la protection des données, (ii) la contestation continue des caviardages, qui révèle un intérêt pour le contexte plutôt que pour les données, et (iii) la concentration sur les pièces de l’enforcement.

Partant, les demandes d’accès étaient « constitutives d’un abus de droit, car fondées sur des buts étrangers à la LPD ». Le TAF rejette les recours.

Cet arrêt appelle trois remarques.

Premièrement, le TAF laisse expressément ouverte la question du seuil de l’abus de droit prévu par l’art. 26 al. 1 let. c LPD. Selon certains auteurs, cette disposition ne fait que reprendre la jurisprudence susmentionnée applicable sous l’aLPD, alors que, pour d’autres, elle en abaisse le seuil. À notre avis, cet arrêt confirme la tendance de la jurisprudence à se montrer de plus en plus restrictive vis-à-vis des demandes d’accès qui ne visent pas réellement à invoquer des droits découlant de la LPD (cf. ég. Fischer, cdbf.ch/1200/ et Hirsch, cdbf.ch/1243/).

Le praticien ne peut désormais plus forcément se limiter à invoquer le droit de son client à la rectification des données, prévu par l’art. 32 al. 1 LPD et l’art. 41 al. 2 let. a LPD, pour éviter de voir sa requête qualifiée d’abusive. Il devra bien rédiger sa demande d’accès LPD et probablement éviter toute référence à d’autres procédures, pendantes ou futures.

Deuxièmement, le raisonnement du TAF ne convainc pas lorsqu’il considère comme indice d’un abus de droit le fait que les recourants « s’intéressaient davantage aux informations contextuelles » qu’à « leurs seules données personnelles brutes ». En effet, la LPD permet l’accès aux « données personnelles traitées en tant que telles » (art. 25 al. 2 let. b LPD). Il aurait été préférable que le TAF explique si le caviardage réalisé par la FINMA répondait à cette limite légale, plutôt qu’il se repose sur la notion de « données personnelles brutes », inconnue de notre ordre juridique (sur le caviardage réalisé par la FINMA, cf. ég. Jeanneret, cdbf.ch/1345/).

Enfin, le TAF considère que la FINMA a violé l’art. 70 LPD en continuant à examiner les demandes d’accès des sociétés après l’entrée en vigueur le 1^er septembre 2023 de la nouvelle loi. Or, nous doutons que le législateur ait réellement voulu, en adoptant l’art. 70 LPD, qu’une requête d’accès déposée par des personnes morales avant le 1^er septembre 2023 soit rejetée au motif que cette loi ne protège plus les personnes morales. En tout état, il n’est pas exclu que les personnes morales puissent encore invoquer l’art. 13 al. 2 Cst. vis-à-vis de l’Etat ou l’art. 28 CC vis-à-vis des particuliers pour obtenir l’accès à leurs données.