Rapport explicatif

Département fédéral de l’intérieur DFI

Office fédéral de la sécurité alimentaire et et des affaires vétérinaires OSAV

Il en va de même pour les organismes de certification et de contrôle qui trouvent, certes, leur base légale dans le droit agricole (p. ex. les organismes de certification visés aux articles 28 et suivants de l’ordonnance du 22 septembre 1997 sur l’agriculture biologique²⁰, ou l’organe de contrôle institué par l’article 36 de l’ordonnance du 14 novembre 2007 sur le vin²¹), mais qui peuvent être amenés, dans le cadre de leurs tâches légales, à juger un produit sous l’angle de la tromperie au sens de la législation sur les denrées alimentaires (art. 105).

Les termes de «traitement» et «données personnelles» s’entendent au sens de la loi fédérale du 19 juin 1992 sur la protection des données²² (LPD, art. 3, let. a et e). Le traitement inclut par exemple la collecte, la conservation, la communication et la destruction de données personnelles. À souligner que seules les données nécessaires à l’exécution des tâches légales peuvent être traitées par les autorités fédérales et cantonales compétentes et les tiers. De même, il ne s’agit pas ici d’une possibilité mais d’une obligation pour les différents organes mentionnés de traiter les données mentionnées (art. 99, al. 2 à 5) et de se les échanger en cas de besoin (art. 101).

Par la «forme du traitement» (art. 100), il faut entendre la manière dont les données sont traitées. Les données personnelles doivent être conservées dans des fichiers sécurisés (al. 1). Cela signifie que des mesures doivent être prises afin que seules les personnes qui utilisent ces données personnelles dans le cadre de leur activité aient accès aux fichiers les contenant, et que les données doivent être protégées contre une destruction ou une modification involontaires. La sécurité doit être assurée quelle que soit la forme du fichier. Les fichiers papier, par exemple, peuvent devoir être conservés sous clé. Concernant les fichiers informatisés, les droits d’accès individuels doivent être octroyés aux ayants droit sous la forme de noms d’utilisateur et de mots de passe, par exemple. Selon l’al. 2, les données personnelles doivent être anonymisées dans la mesure où cela n’empêche pas l’exécution des tâches de l’autorité. Par exemple, un laboratoire privé mandaté pour effectuer des analyses ne devrait pas connaître le nom de l’établissement concerné. Les données personnelles mentionnées à l’al. 3 sont des données sensibles au sens de la LPD. Elles requièrent une protection particulière et doivent être traitées de manière confidentielle. Il s’agit non seulement des données personnelles relatives aux sanctions mais également de toutes celles en relation avec une procédure administrative ou pénale. Ainsi, toutes les données personnelles relatives à un contrôle sont sensibles; le nom de l’établissement contrôlé, par exemple, est une donnée sensible et cela indépendamment du fait qu’une non-conformité y a été constatée ou non. Ces données sensibles peuvent être communiquées ou diffusées uniquement si une base légale le prévoit expressément. C’est le cas notamment des produits pouvant présenter un grand danger pour la santé ou des cas de tromperie graves qui requièrent des mesures immédiates. Enfin, il est prévu à l’al. 4 une obligation pour les autorités d’exécution et les tiers d’édicter un règlement interne sur la manière dont les données personnelles doivent être traitées et sécurisées. Les moyens de concrétiser les al. 1 à 3 doivent donc être définis pour tous les collaborateurs. Un tel règlement permet d’assurer un traitement uniforme de ces différentes données au sein du service. Selon la forme des fichiers existants, il faut prévoir des mesures techniques spécifiques. Les cantons peuvent décider par exemple de conserver sous clé les dossiers relatifs à des contrôles contenant des données personnelles ou de crypter les documents qui en contiennent.