Rapport sur les résultats

Art. 9 Respect des recommandations de bonnes pratiques

La nature juridique et la portée du respect des recommandations de bonnes pratiques font l’objet de nombreuses remarques.

Certains²⁴⁴ estiment que l’al. 1 est mal rédigé et qu’il doit ressortir clairement du texte qu’il s’agit ici d’une présomption et non d’une fiction. Partant de l’idée, certains²⁴⁵ considèrent que l’art. 9 est inutile et qu’il faut le supprimer.

D’autres participants s’opposent à cette disposition parce qu’ils estiment qu’elle entraîne un renversement du fardeau de la preuve en défaveur de celui qui traite des données²⁴⁶ ou que, combinée avec l’art. 8, elle confère un trop grand pouvoir au PFPDT²⁴⁷.

Deux cantons²⁴⁸ demandent sa suppression pour des motifs économiques, l’élaboration de recommandations de bonnes pratiques étant trop gourmande en ressources.

Un parti politique²⁴⁹ estime que la loi doit préciser que les recommandations édictées ou approuvées par le PFPDT le lient, mais qu’elles ne lient en revanche pas les tribunaux.

Un participant²⁵⁰ souhaite que le sous-traitant soit mentionné à l'al. 1.

Art. 10 Certification

Plusieurs participants²⁵¹ estiment que le texte de l’art. 10 est plus restrictif que l’actuel art. 11 LPD, contrairement à ce qui est dit dans le rapport explicatif. Ils relèvent ainsi que la certification de produits ne semble plus admise, étant donné d’une part que la loi ne mentionne plus les systèmes de logiciels et de traitement de données, et d’autre part que seuls les responsables du traitement et les sous-traitants peuvent se soumettre à une certification.

Un participant²⁵² relève que la notion d’« opération de traitement » est très vague et que l’on pourrait en déduire une certification individuelle d’opérations individuelles, ce qui ne semble pas souhaitable.

Quelques participants²⁵³ plaident pour l’instauration d’une certification obligatoire, pour laquelle le cercle des assujettis devrait être examiné avec soin. Certains participants saluent en revanche expressément le fait que la certification reste facultative.

Un participant²⁵⁴ demande que l’art. 10 AP-LPD soit complété de telle sorte que, comme l’art. 42 du règlement (UE) 2016/679, il dispose que les besoins spécifiques des microentreprises et des petites et moyennes entreprises sont pris en considération (en particulier pour la certification de produits et de services).