Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

8.1.3 Obligations du responsable du traitement et du sous-traitant

La section 3 porte sur les obligations du responsable du traitement et du sous-traitant. Ces dernières valent tant pour les personnes privées que les organes fédéraux.

8.1.3.1 Art. 13 Devoir d’informer lors de la collecte de données

L’art. 13 AP-LPD regroupe les art. 14 et 18a de l’actuelle LPD. Cela permet d’éviter des doublons et d’harmoniser le traitement des données effectué par les organes fédéraux et par les privés. La nouvelle norme remplit les exigences de l’art. 7^bisdu P-STE 108 et de l’art. 13 de la directive (UE) 2016/680. Les art. 13 s. du règlement (UE) 2016/679 contiennent une réglementation similaire.

Le devoir d’informer renforce la transparence des traitements, ce qui est l’un des principaux buts de la révision. En l’absence d’information, la personne concernée ne se rend en effet souvent pas compte que ses données personnelles sont traitées. Par ailleurs, elle ne peut faire valoir les droits que la loi lui uniquement si elle sait que des données la concernant sont traitées. L’amélioration de la transparence du traitement des données personnelles entraîne donc aussi un renforcement des droits de la personne concernée, un autre but important de la révision. Enfin, le devoir d’informer contribue à sensibiliser la population sur la protection des données, qui est aussi un but de la révision.

Al. 1 : Principe

Selon l’al. 1, le responsable du traitement doit informer activement la personne concernée de la collecte de données personnelles, et ce même si elles sont obtenues auprès d’un tiers. Il doit l’informer de façon active. L’information n’est soumise à aucune exigence de forme mais il faut de manière générale en choisir une qui respecte le principe de la transparence des données. Pour des raisons de preuve, il est en outre recommandé de documenter

l’information ou d’y procéder par écrit. L’information peut être transmise individuellement ou collectivement, dans les conditions générales ou au moyen d’une déclaration standard s’affichant sur un site Internet, par exemple. Il est possible de recourir à des symboles ou à des pictogrammes, pour autant qu’ils contiennent les éléments nécessaires. Les informations peuvent aussi être données en plusieurs paliers (par ex. un clic de souris sur un symbole fait apparaître des informations détaillées). Si l’on opte pour une information générale, elle doit être facilement accessible, complète et aisément identifiable. La personne concernée doit y être rendue attentive sans intervention de sa part, c’est-à-dire sans qu’elle doive la chercher ou la demander. Par ailleurs, l’information doit être rédigée de manière suffisamment claire pour atteindre son but, à savoir la transparence du traitement des données.

Al. 2 : Informations à fournir

La phrase introductive de l’al. 2 pose le principe fondamental sur lequel le responsable du traitement doit se baser s’agissant des informations à fournir : il doit communiquer à la personne concernée toutes les informations nécessaires à la mise en œuvre des droits de celleci et garantissant la transparence du traitement. Les let. a à c concrétisent ce principe en mentionnant les informations minimales à donner dans tous les cas. Il s’agit de l’identité et des coordonnées du responsable du traitement, des données ou catégories de données traitées et des finalités du traitement. La base juridique du traitement doit aussi être communiquée – notamment par les organes fédéraux – pour permettre à la personne concernée de faire valoir ses droits. L’association d’une disposition générale définissant les principes de base d’agissant des informations à communiquer (1^èrephrase) et d’exigences minimales (let. a à c) permet de mettre en œuvre le devoir d’informer de manière souple. Le degré de détails de l’information dépendra du type de données personnelles traitées ainsi que de la nature et de l’ampleur du traitement. Cette souplesse est nécessaire si l’on veut tenir compte de tous les types de traitements possibles. Elle garantit par ailleurs que seules les informations nécessaires sont transmises. Enfin, elle permet aux responsables du traitement de concrétiser l’obligation d’informer par des recommandations de bonnes pratiques adaptées à leur domaine. La personne concernée doit être informée au plus tard au moment de la collecte des données personnelles, sauf dans le cas visé à l’al. 5.