Rapport sur les résultats

4.3 Section 3 Obligations du responsable du traitement et du soustraitant

Quelques participants²⁸⁰ estiment que les obligations du sous-traitant devraient être distinguées plus clairement de celles du responsable du traitement et ne concerner que des aspects relevant de son cahier des charges ou sur lesquels il peut exercer une influence.

Plusieurs participants²⁸¹ proposent que, au lieu de définir des devoirs de notification, d’information et de documentation, on prévoie que les entreprises puissent demander au PFPDT de leur fournir, dans un délai de 30 jours, une évaluation définitive d’un traitement de données (attestation négative, lettre de confort).

Art. 13 Devoir d’informer lors de la collecte de données personnelles

Al. 1 et 2

Certains participants²⁸² approuvent que le devoir d’informer soit étendu. Un nombre relativement élevé de participants²⁸³ doutent de l’efficacité de ce devoir et craignent une surinformation contre-productive ou critiquent l’ampleur des charges qu’implique son respect. Il est préconisé que l’étendue de l’obligation de transparence soit fonction des risques pour les personnes concernées²⁸⁴. Un participant²⁸⁵ se prononce en faveur d’une information périodique de la personne concernée, alors que d’autres²⁸⁶ prônent une information unique. En outre, il est demandé que le principe de l’« opt-in » soit mis en œuvre de manière adéquate²⁸⁷ et qu’on introduise une disposition concernant spécifiquement les mineurs²⁸⁸.

Un participant²⁸⁹ salue expressément que la collecte de données personnelles soit communiquée activement à la personne concernée, même en cas de collecte par un tiers, mais propose que l'on précise cette obligation dans l'ordonnance. Quelques milieux concernés²⁹⁰ estiment que l’AP-LPD va, sur ce point, plus loin que les exigences européennes. Selon différents participants²⁹¹, le devoir d’informer doit pouvoir être respecté en mettant à disposition des informations générales, par exemple sur Internet. Plusieurs participants²⁹² estiment qu’une liste exemplative ne suffit pas au vu des conséquences pénales. Il conviendrait plutôt de prévoir une liste exhaustive. Un participant²⁹³ apprécie le fait que la liste des informations à communiquer soit beaucoup plus courte que celle qui figure dans le règlement (UE) 2016/679 (art. 13s).