Rapport OLPD

Le conseiller à la protection des données est principalement une fonction. Cette dernière peut donc être attribuée non seulement à une personne mais aussi à une équipe composée par exemple d’un spécialiste de la protection des données et d’un spécialiste en matière de sécurité informatique. Une telle solution permettrait par exemple de respecter les exigences concernant les connaissances professionnelles. Si la tâche de conseiller à la protection des données est conférée à plusieurs personnes, la responsabilité de l’exécution des tâches doit être clairement définie.

L’art. 12a laisse la faculté au maître du fichier de décider s’il entend se prévaloir de l’exception prévue à l’art. 11a, al. 5, let. e, LPD. Si tel est le cas, il est tenu d’informer le préposé qu’il a désigné un conseiller à la protection des données. L’ordonnance ne prévoit pas d’obligation de communiquer au préposé l’identité de la personne désignée. Une telle information serait toutefois souhaitable. La procédure pour informer le préposé doit être aussi simple que possible ; il peut par exemple être informé par Internet. Cette information détermine le point de départ de l’exonération du maître du fichier de l’obligation de déclarer ses fichiers.

En revanche, si le conseiller à la protection des données désigné ne remplit pas les exigences d’indépendance prévues par la LPD ou si le maître du fichier renonce à se prévaloir de l’exception prévue à l’art. 11a, al. 5, let. e, LPD, ce dernier reste soumis à l’obligation de déclaration.

2.5.2 Tâches et statut (art. 12b du projet de révision)

Selon le nouvel art. 11a, al. 6, 2^èmephrase, LPD, le Conseil fédéral précise le rôle et les tâches du conseiller à la protection des données. Pour mettre en œuvre cette disposition, l’art. 12b, al. 1, du projet de révision règle les tâches qui lui incombent.

En vertu de la let. a, le conseiller à la protection des données doit contrôler les traitements des données personnelles et proposer des améliorations ou des corrections au maître du fichier s’il apparaît que des prescriptions sur la protection des données ont été violées. Le maître du fichier ne doit pas sanctionner le conseiller à la protection des données du fait de l’accomplissement de sa tâche.

La tâche prévue à la let. a n’engage pas la responsabilité du conseiller à la protection des données. En effet, en cas de violation de la législation sur la protection des données, seul le maître du fichier en répond, notamment à l’égard de la personne concernée.

Conformément à la let. b, le conseiller à la protection des données doit dresser un inventaire des fichiers du maître du fichier. Seuls les fichiers mentionnés à l’art. 11a, al. 3, LPD doivent y figurer. L’inventaire peut être consulté par le préposé ou par toute personne qui en fait la demande. Il permet ainsi de garantir la transparence des fichiers qui ne sont plus soumis à déclaration, tant à l’égard des personnes concernées que du préposé.

Même si l’ordonnance ne le prévoit pas expressément, le conseiller à la protection des données devra prendre les mesures nécessaires pour l’accomplissement de se tâches. Il devra notamment conseiller et former le maître du fichier et son personnel en édictant par exemple des directives ou des instructions. Il donnera son avis sur tous les projets qui touchent la protection des données, ce qui implique qu’il doit être consulté par le maître du fichier avant la mise en œuvre de tout nouveau traitement. Il fera également régulièrement rapport au maître du fichier sur son activité.