Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

caractère facultatif de ces dernières. Notons que les milieux concernés sont libres, sur le plan associatif par exemple, de rendre les recommandations obligatoires.

8.1.2.7 Art. 10 Certification

L’art. 10 de l’AP-LPD règle la certification facultative, qui figure actuellement à l’art. 11 LPD. L’AP-LPD étend l’objet de la procédure de certification à toutes les opérations de traitement. En plus des systèmes (procédures et organisation) et des produits (programmes, logiciels, systèmes), il est maintenant possible de faire certifier des services Cette extension permet de se rapprocher du règlement (UE) 2016/679, qui prévoit lui aussi une certification pour toutes les opérations de traitement (art. 42).

La procédure d’accréditation des organismes de certification indépendants par le Service d’accréditation suisse, qui y associe le préposé, demeure inchangée⁹⁵.

8.1.2.8 Art. 11 Sécurité des données

L’art. 11 AP-LPD correspond à l’art. 7 LPD, avec quelques modifications rédactionnelles. Le devoir d’assurer la sécurité des données est une exigence du P-STE 108 (art. 7) et de la directive (UE) 2016/680 (art. 29). Le règlement (UE) 2016/679 prévoit une règle comparable (art. 32). Il est précisé que les responsables du traitement et les sous-traitants doivent protéger les données personnelles contre tout traitement non autorisé et toute perte, par des mesures organisationnelles et techniques appropriées. La notion de perte englobe aussi celle de destruction des données.

Ce devoir peut, selon les situations, se traduire par différentes mesures. Il peut s’agir de pseudonymiser et chiffrer des données. Il peut aussi s’agir de prévoir des garanties pour assurer la confidentialité, l'intégrité et la disponibilité des systèmes et des services de traitement, et pour rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique. Enfin, il peut encore s’agir d’élaborer des procédures visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement.

8.1.2.9 Art. 12 Données personnelles d’une personne décédée

Plusieurs éléments de cette norme figurent actuellement à l’art. 1, al. 7, OLPD. La possibilité de consulter les données personnelles d’une personne décédée est vue comme un droit partiel inclus dans le droit d’accès. Il s’agit pourtant d’un droit de la personne concernée, qui ne peut le faire valoir que pour les traitements de données la concernant. La disposition de l’ordonnance étend ainsi le droit d’accès aux tiers, qui peuvent obtenir des informations sur les données d’une tierce personne sans qu’une base légale ne l’autorise. Cela pose un problème qui est résolu par l’ajout d’une telle norme dans la loi. D’un point de vue systématique, la norme en question est détachée de l’article régissant le droit d’accès, qui concerne uniquement la personne concernée, et est ajoutée à la section fixant les dispositions générales de protection des données.

En plus de régler le droit d’accès aux données personnelles d’une personne décédée, l’art. 12 satisfait en partie au postulat Schwaab 14.3782 « Des règles pour la "mort numérique" », en prévoyant un droit à l'effacement ou la destruction des données de la personne décédée par les héritiers. La possibilité d’une « mort numérique » existe donc désormais, sauf dans les cas où des intérêts prépondérants de tiers ou de la personne concernée s’y opposent ou que cette dernière l’aura expressément interdit. D’autres questions soulevées dans le postulat, concernant par exemple la possibilité d’hériter les données, seront traitées dans le cadre de la révision du droit des successions.

Al. 1 : Consultation

L’al. 1 dispose que le responsable du traitement accorde la consultation gratuite des données personnelles d’une personne décédée en cas d’intérêt légitime. Dans certains cas cet intérêt est présumé (al. 2, voir ci-dessous). La simple curiosité ne constitue en revanche pas