Rapport OLPD

Le nouvel art. 11a, al. 5, let. e, LPD prévoit que le maître du fichier n’est pas tenu de déclarer son fichier s’il a désigné un conseiller à la protection des données indépendant chargé d’assurer l’application interne des dispositions relatives à la protection des données et de tenir un inventaire des fichiers. Selon le message (FF 2003, p. 1949), le Conseil fédéral peut en particulier prévoir que le maître du fichier n’est délié de son devoir de déclaration que s’il a annoncé au préposé la nomination d’un conseiller à la protection des données.

Les désignations, dans les versions allemande et italienne, de « Datenschutzverantwortlicher » et de « responsabile della protezione dei dati » (nouvel art. 11a, al. 5, let. e, LPD) ne signifient pas que cette personne est seule responsable du respect de la protection des données. Comme on le verra ci-après, son activité se limite à des tâches de conseil et de surveillance. La responsabilité incombe en fait en premier lieu à l’organisme considéré comme le maître du fichier et, partant, comme le responsable de tous les traitements de données effectués. La version française de l’art. 11a, al. 5, let. e, LPD est donc plus exacte (« conseiller à la protection des données »). C’est pourquoi les versions allemande et italienne du projet d’ordonnance utilisent les désignations de «betrieblicher Datenschutzberater » et de « consulente per la protezione dei dati ».,

Pour mettre en œuvre l’art. 11a, al. 5, let. e, LPD, l’art. 12a, al. 1, du projet de révision prévoit que pour être délié de son devoir de déclaration, le maître du fichier doit désigner un conseiller à la protection des données qui remplit les conditions des art. 12a et 12b du projet de révision et en informer le préposé.

Conformément à l’al. 2, le maître du fichier peut désigner, en qualité de conseiller à la protection des données, un membre de son personnel. En principe, peu importe son rang hiérarchique. Toutefois, afin de garantir son indépendance, il serait opportun que la personne désignée soit directement subordonnée à l’organe de direction du maître du fichier. Le conseiller à la protection des données peut également être un tiers. Cette solution permet de mieux garantir le principe d’indépendance exigé par la LPD.

Le principe d’indépendance du conseiller à la protection des données est concrétisé à l’art. 12a, al. 2, 2^èmephrase. En vertu de cette disposition, le maître du fichier doit désigner une personne qui n’exerce pas d’activités incompatibles avec ses tâches de conseiller à la protection des données. Il y a par exemple incompatibilité si le conseiller à la protection des données est membre de la direction, exerce des fonctions dans les domaines ayant trait à la gestion des ressources humaines, à l’administration des systèmes d’information, aux technologies de l’information ou fait partie d’un service mettant en œuvre des traitements de données sensibles. En revanche, le cumul du poste de conseiller à la protection des données et de chargé de la sécurité informatique ou de la direction du service juridique n’est en principe pas incompatible.

Le principe d’indépendance ne doit pas seulement être respecté par le maître du fichier mais aussi par le conseiller à la protection des données. En effet, l’al. 2 oblige ce dernier de renoncer à toute activité susceptible d’entrer en conflit avec les tâches qu’il accomplit pour le compte du maître du fichier.

Pour exercer ses tâches de manière efficace, le conseiller à la protection des données doit en outre les connaissances professionnelles nécessaires (al. 2, 2^ème phrase). Ses compétences doivent porter non seulement sur la législation en matière de protection des données, mais aussi sur les normes techniques, l’organisation du maître du fichier et les traitements effectués par ce dernier.