Rapport sur les résultats

Art. 50 Sécurité des données, en relation avec l'art. 3 Responsabilité du système

Les cantons du Tessin, d'Argovie, de Fribourg et de Bâle-Campagne, ainsi que Privatim, constatent que l'art. 50 est étroitement lié à l'art. 3 de l'ordonnance, selon lequel les cantons sont responsables du système dans leur domaine. On peut donc se demander dans quelle mesure ils doivent appliquer les bases légales relatives à la sécurité informatique visées à l'art. 50. Il est évident que les cantons doivent respecter certaines prescriptions du maître du fichier (fedpol). Mais il serait souhaitable d'établir soit une réglementation qui mentionnerait les éventuelles obligations des cantons, soit une norme de renvoi.

Art. 52 Surveillance

Plusieurs cantons et organisations (TI, BL, GB, ZH, AG, SO, Privatim, le préposé à la protection des données du canton du Zurich) sont d'avis qu'il n'est pas nécessaire de fixer dans l'ordonnance la surveillance coordonnée, qui va de soi. Les autorités suisses chargées de la protection des données sont habilitées, notamment en raison de leurs lois sur la protection des données, à coopérer avec des autorités suisses et étrangères.

En outre, ils estiment qu'il n'est pas correct, sur le plan matériel, de confier la surveillance des données du SIS uniquement au Préposé fédéral à la protection des données et à la transparence (PFPDT). Selon eux, une surveillance générale des données du SIS par le PFPDT est contraire aux règles de compétences en matière de protection des données prévues par la Constitution. En effet, le système suisse en vigueur dans le domaine de la protection des données est organisé de manière fédéraliste; les compétences sont ainsi réglées non pas en fonction du type de données, mais en fonction de l'autorité qui traite les données. L'autorité de surveillance suprême mentionnée dans le rapport explicatif n'existe donc pas en Suisse. En vertu du système fédéraliste régissant le domaine de la protection des données, le PFPDT est responsable des données traitées par les organes fédéraux et par des particuliers. La LPD prévoit en outre que certains de ses articles soient applicables dans les cas où les autorités cantonales exécutent le droit fédéral et ne disposent pas de prescriptions cantonales en matière de protection des données (art. 37, al. 1, LPD). Or, suite à l'adoption des accords de Schengen et Dublin, les cantons ont adapté leur loi sur la protection des données aux normes européennes en la matière, ce qui rend la présente disposition pratiquement caduque au moment de l'entrée en vigueur des accords. Il est donc erroné de soumettre certaines catégories de données – les données du SIS en l'occurrence – à la surveillance du PFPDT, l'attribution de la responsabilité dépendant de l'organe qui traite les données. Lorsque des données du SIS sont traitées par des organes cantonaux (accès, conservation, utili-