Rapport sur les résultats

Al. 2

Certains participants³⁷⁴ approuvent expressément cet alinéa. Un participant³⁷⁵ estime que le texte de l’al. 2 ne fait que répéter le principe de finalité et demande qu’il soit précisé. Un autre³⁷⁶ juge que la restriction contenue dans cette disposition devrait se rapporter non pas au type ou à la quantité de données personnelles, mais à leur mode de traitement. Par ailleurs, il est demandé qu’on prévoie par défaut une procédure d’« opt-in » pour le traitement des données qui ne sont pas nécessaires à la finalité visée³⁷⁷. Certains³⁷⁸ estiment que cet alinéa n'a de portée que pour le secteur privé, dans la mesure où les organes fédéraux traitent des données en vertu d'une base légale. Le texte de la disposition devrait être adapté en conséquence.

Art. 19 Autres obligations

Let. a

Quelques participants³⁷⁹ trouvent que l’obligation de documentation ne va pas assez loin, dans la mesure où, contrairement à ce qui est le cas dans le droit européen, il n’est pas mentionné que l’objectif est que le responsable du traitement prouve le respect des prescriptions relatives à la protection des données. La majorité des participants qui se sont exprimés sur cette disposition³⁸⁰ craignent que l’obligation de documentation entraîne une charge de travail disproportionnée, en particulier pour les PME, et estiment qu’elle ne devrait pas être plus étendue que l’obligation de tenir un registre prévue par le droit européen. Un participant³⁸¹ est d’avis qu’il faut trouver un juste équilibre entre l’ampleur des charges pour les entreprises et l’étendue de la documentation dont le PFPDT a besoin. Le fait qu’il ne faille plus déclarer de fichiers au PFPDT est jugé positivement³⁸². Certains participants³⁸³ critiquent cette modification. Un canton³⁸⁴ estime que la règle doit être plus précise, dans la mesure où le défaut de documenter est punissable pénalement en vertu de l'art. 51, al. 1, let. f AP-LPD.

Finalement, plusieurs participants³⁸⁵ critiquent la suppression des dispositions concernant le conseiller à la protection des données, faisant valoir que cette fonction s’est établie en Suisse. Il est proposé que, dans la perspective de l’encouragement de l’autoréglementation, les entreprises qui désignent de leur propre initiative un conseiller (indépendant) à la protection des données bénéficient de certains allègements, par exemple en ce qui concerne les obligations d’information ou les sanctions. Le recours à un conseiller à la protection des données, est-il affirmé, favorise l’adoption de mesures internes destinées à garantir la protection des données et contribue à diminuer la charge de travail du PFPDT. Quelques participants³⁸⁶ souhaitent même que la loi prévoie l’obligation de désigner formellement un tel conseiller. Un participant³⁸⁷ propose, quant à lui, de n’instaurer cette obligation que pour les institutions publiques et pour les entreprises traitant beaucoup de données ou des données sensibles.