Rapport sur les résultats

publique³⁴² bénéficient de simplifications. Un participant³⁴³ approuve la notion de risque accru. Un participant³⁴⁴ estime que l’analyse d’impact relative à la protection des données doit être répétée périodiquement ou en cas de modification du risque et que toute loi doit faire l’objet d’une telle analyse. Trois cantons estiment que la notion de "risque accru" est trop vague³⁴⁵. Un participant³⁴⁶ souhaite que le Conseil fédéral définisse cette notion. Un autre participant³⁴⁷ estime qu'une analyse d'impact doit avoir lieu avant chaque traitement.

Al. 3 et 4

Certains participants³⁴⁸ sont d’avis que la consultation préalable telle que prévue à l’art. 8bis de la convention STE 108 et à l’art. 28 de la directive (UE) 2016/680 n’est pas mise en œuvre de manière suffisante. Plusieurs participants³⁴⁹ estiment que ces deux alinéas vont trop loin, notamment la procédure de communication au PFPDT, qui n’est prévue ni par la convention ni par le droit européen, et demandent que la réglementation n’aille pas au-delà de ce dernier. Un participant craint un trop grand nombre d'annonces au PFPDT, ce qui serait contreproductif. L'annonce devrait se limiter aux cas dans lesquels il réside un risque élevé même après avoir pris les mesures appropriées³⁵⁰. Certains³⁵¹ proposent d’exempter les entreprises qui ont désigné un conseiller à la protection des données de l’obligation d’information prévue à l’al. 3. Finalement, le délai de trois mois est jugé trop long par bon nombre de participants³⁵², qui demandent de le réduire à la durée prévue par le droit européen. Un parti politique³⁵³ doute par ailleurs du fait que le PFPDT puisse respecter le délai de trois mois.

Art. 17 Notification des violations de la protection des données

Certains participants³⁵⁴ approuvent cette disposition. Un canton³⁵⁵ fait en revanche part de son scepticisme. Un autre participant³⁵⁶ demande sa suppression.

Al. 1

Un nombre relativement important de participants³⁵⁷ demandent que la notion de « violation de la protection des données » soit définie dans la loi. Environ la moitié des participants qui se sont exprimés sur cette disposition³⁵⁸ jugent que celle-ci ne doit pas aller plus loin que le droit européen. Ils demandent notamment qu’on relève le seuil à partir duquel une notification est nécessaire et qu’on prévoie que celle-ci doit avoir lieu non pas « sans délai », mais sans retard inutile. Certains³⁵⁹ relèvent que, compte tenu de la menace de sanction, cette disposition viole le principe du nemo tenetur. Un participant³⁶⁰ demande que la disposition se