Rapport sur les résultats

La fondation pEp souligne qu’à l’âge d’Internet, il n’est pas suffisant de mettre en place une protection des données en se focalisant sur le lieu où elles se trouvent et sur les personnes impliquées ; il faudrait plutôt procéder selon le principe de la minimisation des données. L’autorité américaine de normalisation NIST propose de créer une architecture de sécurité « zero trust ». L’UNIL indique que les données traitées sur la plateforme sont soumises au secret de fonction et que l’accès à ces données doit être réglé de manière aussi stricte que possible. Il faudrait préciser dans le message si des mesures techniques (chiffrement par ex.) permettent un traitement à l’étranger ou en Suisse par une entreprise étrangère. Il faudrait aussi indiquer quand la corporation intervient comme responsable du traitement et quand elle intervient comme sous-traitant (UNIL et HDC) ou ce que couvre exactement la notion de « données de la plateforme » (TC VD).

Swimag fait remarquer que le RGPD, vu sa portée, influe sur toutes les dispositions et normes nationales.

Al. 1

Pour BL, HDC et privatim, il n’est pas clair qui sont les tiers consultés. Il pourrait aussi s’agir de collaborateurs de l’autorité. Il faudrait préciser qu’il s’agit en particulier de prestataires de services chargés d’instituer et d’exploiter la plateforme. Le message devrait le clarifier (ZH). Le TAF relève que la disposition ne dit pas si l’accès à la banque de données depuis l’étranger est possible et admissible. L’AAB demande de préciser dans quelle mesure la corporation peut remettre à des autorités suisses ou étrangères les données personnelles qu’elle traite en vertu de l’al. 2.

GE et le PJ GE critiquent que la version française de cette disposition est alambiquée et peu compréhensible. La deuxième phrase ne fait pas de sens.

Al. 2

BL et le TAF approuvent la restriction apportée à l’al. 2 en ce qui concerne le traitement des données par la corporation, mais jugent que la formulation est trop ouverte. De plus, le terme de données personnelles ne s’appliquera plus qu’aux personnes physiques et non aux personnes morales après l’entrée en vigueur de la loi fédérale sur la protection des données entièrement révisée (GL et HDC). Le terme de « profils de la personnalité » devrait être biffé (HDC), de même que celui de « procédure pendante » (DB LU).

Al. 4

BE, GE, GL, le PJ GE et la CPS font remarquer que cet alinéa n’est pas explicite et que le rapport explicatif n’est pas plus clair. Il faudrait en outre se référer à la nouvelle loi sur la protection des données (LU).

Un canton (SO) et une administration judiciaire (VWK ZH) relèvent qu’à la clôture de la procédure, ce n’est pas le droit de l’autorité qui a traité l’affaire en dernier lieu qui doit être applicable, mais le droit fédéral ou le droit du canton concerné. Ainsi, par exemple, le droit fédéral serait toujours applicable lorsque le Tribunal fédéral clôt une affaire en dernière instance, sans la renvoyer à l’autorité cantonale. VD souligne qu’il pourrait y avoir un problème pour circonscrire le périmètre dans lequel le traitement de données peut intervenir étant donné que les tâches de la corporation ne sont pas clairement définies aux art. 3 et 5.

Al. 5

AG est d’avis que le lien entre cet alinéa et l’art. 14, al. 1, let. a, n’est pas clair et semble contradictoire. D’autres participants (BE, GE, GL, LU, PJ GE et CPS) estiment que le renvoi à la législation cantonale sur la protection des données n’est pas exact et qu’il vaudrait mieux renvoyer à la législation cantonale sans autre précision. Le TAF fait remarquer que la terminologie utilisée dans cet alinéa est inexacte.