Rapport explicatif

Malgré cet atténuement des risques éventuel, il est opportun de régler expressément la question de la responsabilité pour la protection des données du SNA. Une telle règlementation est surtout conseillée lorsque les données personnelles sont traitées conjointement par des autorités fédérales, cantonales ou communales ou avec des tiers. Par manque de définition des compétences respectives de chaque entité, il se pourrait que nul ne se sente responsable ou que des questions de délimitation de compétences se posent.

L’art. 16, al. 2, LPD attribue au Conseil fédéral la compétence de réglementer les responsabilités et le contrôle de manière spécifique à chaque fois qu'un des organes fédéraux traite des données conjointement avec d'autres organes fédéraux ou avec des organes cantonaux ou encore avec des personnes privées³⁶. Cette disposition vise surtout les grands systèmes décentralisés d'information et les systèmes dits « répartis ». On entend par systèmes « décentralisés » les systèmes informatiques dans lesquels la saisie des données est effectuée non par l'exploitant du système lui-même, mais par des participants situés à la périphérie.³⁷ Par systèmes « répartis » on entend les systèmes obtenus par l'interconnexion de plusieurs ordinateurs indépendants³⁸. Bien que le service national des adresses ne soit ni un système « décentralisé » ni un système « réparti », il s’avère néanmoins opportun de régler de manière spécifique la question de la responsabilité dans l’avant-projet.

Le SNA s’apparente principalement à un système « centralisé », mais il contient également des éléments « décentralisés ». Il permet notamment à des autorités fédérales, cantonales, communales et à des tiers de consulter les adresses des personnes physiques domiciliées en Suisse. Ces données sont livrées à l’OFS par des autorités cantonales et communales en vertu de la LHR. Elles sont par la suite reprises telles quelles et enregistrées par l’OFS dans le système d’information.

Etant les sources des données enregistrées dans le système, les autorités cantonales et communales sont les seules à pouvoir effectuer les rectifications requises lorsque les données sont incomplètes ou incorrectes. Toutefois, les utilisateurs peuvent effectuer d’autres opérations, qui constituent également un traitement des données. Ils peuvent notamment conserver et exploiter ces données pour exécuter leurs tâches légales. En effet, le traitement des données comprend « toute opération relative à des données personnelles - quels que soient les moyens et procédés utilisés - notamment la collecte, la conservation, l'exploitation, la modification, la communication, l'archivage ou la destruction de données » (art. 3, let. e, LPD).

Les activités des organes fédéraux, des personnes privées et des personnes physiques et morales exécutant des tâches publiques pour le compte de la Confédération sont régies par la LPD. Le droit cantonal et communal de la protection des données s’applique aux activités des autorités cantonales et communales. S’il s’avère toutefois que le droit cantonal de la protection des données n’assure pas un niveau de protection adéquat, certaines dispositions de la LPD pourront s’appliquer aux organes cantonaux traitant des données personnelles en exécution du droit fédéral (art. 37 LPD).

Pour des raisons de clarté et de sécurité juridique, il semble ainsi opportun de préciser que l’OFS est responsable de la protection des données traitées dans le système d'information. En tant qu’autorité responsable, l’OFS est également chargé de contrôler le système d’information afin de s’assurer qu’il est compatible avec les exigences de la LPD, notamment avec celles concernant la sécurité des données.