Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

8.1.6.6 Art. 31 Proposition des documents aux Archives fédérales

Cette disposition correspond à l’art. 20 LPD. Elle ne subit pas de modifications matérielles.

8.1.6.7 Art. 32 Traitement à des fins de recherche, de planification et de statistique

Cette disposition correspond pour l’essentiel à l’art. 22 LPD. Deux modifications sont apportées à l’al. 2 concernant les renvois aux art. 4, al. 3, 27, al. 1 et 2 et 29, al. 1 AP-LPD.

En outre le nouvel al. 1, let. b précise que l’organe fédéral ne communique des données sensibles que sous une forme ne permettant pas d’identifier les personnes concernées.

Cette modification vise à renforcer la protection des données sensibles.

8.1.6.8 Art. 33 Activités de droit privé exercées par les organes fédéraux

Cette disposition correspond à l’art. 23 LPD. Elle ne subit pas de modifications matérielles.

8.1.6.9 Art. 34 Prétentions et procédure

L’art. 34 correspond en grande partie à l’art. 25 LPD. Il subit néanmoins quelques modifications qui sont présentées ci-dessous.

Al. 2 : Mention du caractère litigieux

Cette disposition prévoit la mention du caractère litigieux d’une donnée, mesure qui a été reprise du droit en vigueur. Lorsque l’exactitude ou l’inexactitude d’une donnée ne peut pas être établie, l’organe fédéral doit ajouter la mention de son caractère litigieux. En vertu du nouvel al. 2, la personne concernée peut en outre exiger la limitation du traitement. Ce droit correspond aux exigences de l’art. 16 de la directive (UE) 2016/680. L’art. 18 du règlement (UE) 2016/679 contient une réglementation analogue. Par contre, le P-STE 108 ne prévoit pas une telle disposition. La limitation du traitement signifie que les données litigieuses doivent être marquées de telle manière qu’elles ne puissent être traitées que dans le but de constater leur exactitude ou inexactitude. Le marquage doit être clair. Une solution envisageable en pratique est de faire migrer provisoirement les données litigieuses dans un autre système. Il est également possible de bloquer les droits d’accès des utilisateurs ou de retirer provisoirement les données d’un site Internet accessible au public. Dans des systèmes de traitement automatisé de données, la limitation du traitement devrait être garantie par des mesures techniques, de telle manière à empêcher tout traitement ultérieur ou modification des données.

Al. 3 : Prétentions

Cette disposition règle les prétentions que les personnes concernées peuvent faire valoir contre des organes fédéraux.

Aujourd’hui, le droit pour la personne concernée d’exiger l’effacement de ses données découle implicitement de l’art. 25 LPD. Pour mettre en œuvre les exigences de l’art. 8 let. e P-STE 108 et de l’art. 16 de la directive (UE) 2016/680, ce droit est maintenant expressément fixé à l’art. 34, al. 3, let. a et b. L’art. 17 du règlement (UE) 2016/679 prévoit quant à lui un droit pour la personne concernée d’exiger, à certaines conditions, l’effacement de ses données (« droit à l’oubli »). L’art. 25 AP-LPD prévoit le même droit, de sorte que la réglementation est identique pour les responsables du traitement des secteurs privé et public (voir ch. 8.1.5.3). Cette modification ne comporte néanmoins pas de changement par rapport à la situation légale, sous réserve de l’al. 4.

Par rapport à l’art. 25, al. 3, let. a, LPD, le nouvel al. 3, let. a est modifié en sens que la dernière partie de la phrase concernant l’opposition à la communication à des tiers est supprimé. En effet ce droit est expressément régi par l’art. 30 AP-LPD¹⁰⁷. Le droit de s’opposer à la communication de données personnelles en vertu de l’art. 30 n’est pas lié à un traitement illicite, contrairement aux prétentions prévues à l’art. 34. Cette modification n’a toutefois pas de conséquence en pratique. En effet, la personne concernée qui se prévaut de l’art. 34 peut