Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Des conséquences supplémentaires pour les cantons peuvent résulter du fait que pour la mise en œuvre de la nouvelle loi, le préposé peut faire appel aux organes de police cantonaux et communaux pour l’exécution de ses mesures d’investigation. Une assistance administrative entre le préposé et les autorités cantonales de protection des données est également prévue.

9.3 Conséquences dans le secteur informatique

L’AP a un certain nombre de conséquences sur les traitements automatisés de données. Le responsable du traitement doit notamment garantir l’information de la personne concernée lors de toute traitement de données la concernant notamment sur internet ou lorsqu’il prend une décision individuelle automatisée à l’encontre de celle-ci. En outre, s’il envisage

d’effectuer des traitements présentant certains risques, il doit procéder à une analyse

d’impact et communiquer les risques et les mesures envisagées au préposé. Le responsable du traitement est de plus tenu de prendre les mesures appropriées permettant de mettre en œuvre le principe de protection des données dès la conception et par défaut et de documenter ses traitements. Enfin, il doit notifier au préposé et, le cas échéant, également à la personne concernée certains cas de violation de la protection des données.

Les conséquences informatiques pour les organes fédéraux sont plus limitées à différents égards. Ainsi, il est prévu que le devoir d’informer la personne concernée ne s’applique pas lorsque la décision automatisée est prévue par la loi. En outre, les obligations d’établir une étude d’impact du traitement et de respecter le principe de protection des données dès la conception et par défaut ont peu de conséquences en pratique, puisque l’organe fédéral est tenu déjà aujourd’hui d’annoncer à son conseiller à la protection des données ou, à défaut, au préposé, tout projet de traitement automatisé de données personnelles, afin que les exigences de la protection des données soient immédiatement prises en considération (art. 20, al. 2, OLPD). En revanche, la transposition de l’art. 25 de la directive (UE) 2016/680 qui oblige les Etats Schengen à prévoir une obligation d’établir des journaux pour certaines opérations de traitement dans des systèmes automatisés a des conséquences sur les systèmes de traitement automatisés de données tenus par les organes fédéraux. En effet, l’obligation de journalisation prévue à l’art. 10 OLPD doit être adaptée puisque cette norme, dans sa teneur actuelle, s’applique uniquement aux traitements de données sensibles ou de profils de la personnalité lorsque des mesures préventives ne suffisent pas à garantir la protection des données. A cet égard, il y a lieu de prévoir une disposition transitoire, comme l’autorise du reste l’art. 63 par. 2 de la directive (UE) 2016/680. Enfin, l’obligation pour les organes fédéraux d’annoncer leurs activités de traitement au préposé n’a pas de conséquence pratique puisque cette obligation correspond en substance à l’obligation de déclarer un fichier prévu à l’art. 11a, al. 2, LPD.

Quant au registre des fichiers tenu par le préposé, il doit faire l’objet d’un remaniement puisque les fichiers des personnes privées n’y sont plus enregistrés mais uniquement les activités de traitement des organes fédéraux une fois la nouvelle loi entrée en vigueur.

9.4 Conséquences économiques

L’AP vise un renforcement de la protection des données, au travers notamment d'une amélioration de la transparence des traitements et du contrôle des personnes concernées sur leurs données. Avec le développement des nouvelles technologies, il est en effet de plus en plus difficile pour celles-ci de savoir qui collecte des données à leur sujet, dans quel but et quels sont les destinataires de cette collecte. L’AP vise également à renforcer la surveillance de l’application et du respect des dispositions fédérales de protection des données en octroyant des pouvoirs décisionnels au préposé, ce qui garantit une meilleure protection de la sphère privée des personnes concernées.

L’AP vise en outre à faciliter les flux transfrontières en garantissant que les données peuvent transiter d’un pays à l’autre. En effet, la Suisse est considérée par les Etats membres de l’Union européenne comme un Etat tiers lorsque des données sont échangées dans le secteur privé. Aujourd’hui, la Suisse est au bénéfice d’une décision d’adéquation de la Commis-