Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Let. a : Devoir de documentation

L’art. 19, let. a, oblige le responsable du traitement et le sous-traitant à documenter leurs traitements de données. Cette disposition concrétise l’art. 8^bis, al. 1 du P-STE 108 et l’art. 25 de la directive (UE) 2016/680. L’art. 30 du règlement (UE) 2016/679 contient une disposition similaire. La nouvelle disposition remplace l’obligation faite aux privés de faire enregistrer leurs fichiers par le préposé (l’art. 36 de l’avant-projet prévoit que les organes continueront de déclarer leurs activités pour qu’elles soient enregistrées). La procédure d’annonce des fichiers est bureaucratique implique de lourdes charges administratives pour le responsable du traitement. Elle est par ailleurs peu utile, dans la mesure où la LPD prévoit pour les personnes privées plusieurs exceptions à l’obligation d’enregistrement. Le devoir de documenter le traitement des données s’applique lui à tous les processus de traitement des données. Il permet d’obtenir à peu d’efforts une documentation homogène de tous les processus privés de traitement. Une ordonnance précisera les éléments qui doivent y figurer. La documentation doit toutefois garantir que le responsable du traitement et le sous-traitant sont en mesure de remplir leurs obligations d’information et de notification. Ainsi, les violations de la protection des données selon l’art. 17 AP-LPD doivent aussi être documentées.

Le devoir de documentation joue un rôle central pour la transparence du traitement des données. Le non-respect de ce devoir est sanctionné (voir l’art. 51, let. f, AP-LPD).

Let. b : Autres devoirs d’information

La let. b prévoit que le responsable du traitement et le sous-traitant sont tenus d’informer les destinataires des données personnelles de toute rectification, effacement, destruction ou violation de la protection des données et de toute limitation du traitement selon l’art. 25, al. 2 ou 34, al. 2, AP-LPD. Cette obligation complète d’autres règles de protection des données pour les cas dans lesquels les données personnelles ont été communiquées à des tiers. Elle est prévue par l’art. 16 par. 5 de la directive (UE) 2016/680 ainsi que par l’art. 19 du règlement (UE) 2016/679. Le traitement de données non pertinentes représente en principe une violation de la personnalité, raison pour laquelle la personne qui les traite doit s’assurer que les données sont correctes (art. 4, al. 5, AP-LPD). Le fait de les effacer, les supprimer ou d’en limiter le traitement implique en principe que leur traitement n’est plus licite. L’obligation d’informer prévue ici permet d’éviter que des tiers qui n’auraient pas connaissance de ces opérations continuent de traiter les données.

Le responsable du traitement ou le sous-traitant peut renoncer à la communication si celle-ci s’avère impossible ou si elle exige des efforts disproportionnés. Cette exception est à interpréter de manière restrictive. Avant de considérer qu’une communication n’est pas possible ou qu’elle ne l’est qu’au prix d’efforts démesurés, le responsable du traitement ou le soustraitant doit au moins avoir tenté d’informer les destinataires et s’être heurté à des obstacles concrets particulièrement difficiles à surmonter. Pour juger du caractère disproportionné, on tiendra compte par ailleurs du contenu de la communication à faire. Plus la rectification,

l’effacement ou la limitation est déterminante pour la protection de la personne concernée, plus les efforts du responsable ou du sous-traitant pour informer les destinataires devront être importants.

8.1.4 Droits de la personne concernée

La section 4 règle les droits de la personne concernée. La section 5 fixe des dispositions particulières pour le traitement de données par des personnes privées. La section 6 régit les données traitées par les organes fédéraux.

8.1.4.1 Art. 20 Droit d’accès

Le droit d’accès complète l’obligation d’informer du responsable du traitement. Il est la clé qui permet à la personne concernée de faire valoir les droits que lui octroie la loi. Le droit

d’accès est un droit subjectif inhérent à la personne, qu’une personne mineure ou une personne interdite capable de discernement peut faire valoir seule, sans avoir à requérir le consentement de son représentant légal. Le fait que ce droit est inhérent à la personne a pour conséquence quel nul ne peut renoncer par avance au droit d’accès (art. 20, al. 6 AP-LPD).