Rapport sur les résultats

Procédure d’autorisation et obligation générale de gérer séparément les données

AG demande que les frais d’instauration d’une procédure d’autorisation soient calculés. Les Verts demandent que l’alternative « Procédure d’autorisation » soit réalisée. Le PS, l’USS, l’UPS et B.L. sont également d’avis qu’il faudrait encore une fois examiner la nécessité d’instaurer une procédure d’autorisation. NE estime essentiel d’exiger que les utilisateurs adaptent l’architecture de leurs bases de données. L’USS et le Parti pirate sont favorables à un nouvel examen de la question d’une réorganisation de l’architecture des bases de données.

Avis sur les dispositions

L’UVS demande, à l’art. 153d, l’ajout d’un deuxième alinéa obligeant la Confédération à mettre à disposition un guide pratique pour la mise en œuvre des mesures techniques et organisationnelles. L’ASSH souhaite elle aussi des précisions concernant les prescriptions, par exemple au moyen de directives, d’instructions pour la pratique et de modèles ou d’éléments similaires devant être définis par un service qui reste à déterminer. VD et l’AVIVO sont d’avis que la notion de traçabilité ne devrait pas figurer seulement dans le rapport explicatif, mais aussi dans la loi. La FMH juge que l’avant-projet ne met pas en place un régime de contrôle suffisant pour la surveillance et qu’il faudrait procéder à une analyse d’impact. Elle estime en outre inadmissible que des séries de données liées au NAVS soient transférées par un serveur public ; il existe pour cela une plateforme sûre d’échange de données (Sedex) établie par la Confédération dans le cadre de l’harmonisation des registres. Selon elle, il conviendrait de rendre obligatoire l’utilisation d’une telle plateforme pour l’échange de données en lien avec le NAVS. Les mesures techniques et organisationnelles devraient par ailleurs se fonder sur les normes internationales ou sur les exigences posées par l’ordonnance sur les certifications en matière de protection des données.

AG trouve la formulation de la let. a trop restrictive, tandis que TG demande que soit supprimée purement et simplement la notion de « banques de données électroniques ». Concernant la let. b, ZH et GR remarquent qu’il n’est pas judicieux d’indiquer dans le rapport explicatif le fait que la personne responsable doive apposer sa signature. ZG souhaite également que soit apportée une précision complémentaire dans le rapport explicatif au sujet de ce passage. GR, TG, ZH et la SUVA demandent la suppression pure et simple de la let. b, puisque la fonction de « personne responsable » est déjà définie à travers la notion de « conseiller à la protection des données » à l’art. 11a, al. 5, let. e, de la loi du 19 juin 1992 sur la protection des données (LPD). De l’avis d’AG, de BL, de VD, de ZG et de Privatim, il conviendrait de préciser davantage la let. b. Privatim demande en outre que soit prévue l’obligation de crypter aussi les données personnelles enregistrées sur des supports de données mobiles.