Projet

² Lors du traitement automatisé de données personnelles, l’organe fédéral et son sous-traitant journalisent au moins les opérations suivantes: enregistrement, modification, lecture, communication, effacement ou destruction.

³ La journalisation doit fournir des informations sur la nature du traitement, l’identité de la personne qui a effectué le traitement, l’identité du destinataire et le moment auquel le traitement a eu lieu.

⁴ Les procès-verbaux de journalisation sont conservés durant deux ans, séparément du système dans lequel les données personnelles sont traitées. Ils sont accessibles aux seuls organes ou personnes chargés de vérifier l’application des dispositions de protection des données personnelles ou de rétablir la confidentialité, l’intégrité, la disponibilité et la traçabilité des données, et ils ne sont utilisés qu’à cette fin.

Art. 4 Règlement de traitement des personnes privées

¹ Le responsable du traitement et son sous-traitant établissent un règlement pour les traitements automatisés en cas:

a. de traitement de données sensibles à grande échelle, ou

b. de profilage à risque élevé.

² Le règlement de traitement contient au moins des indications sur:

a. la finalité du traitement;

b. les catégories de personnes concernées et les catégories de données personnelles traitées;

c. la durée de conservation des données personnelles ou les critères utilisés pour déterminer cette durée;

d. l’organisation interne;

e. l’origine des données personnelles et leur mode de collecte;

f. les mesures techniques et organisationnelles visant à garantir la sécurité des données;

g. les autorisations d’accès, ainsi que sur la nature et l’étendue de cet accès;

h. les mesures prises pour la minimisation des données;

i. les procédures de traitement des données, notamment les procédures, d’enregistrement, de rectification, de communication, de conservation, d’archivage, de pseudonymisation, d’anonymisation et d’effacement ou de destruction des données;

j. la procédure d’exercice du droit d’accès et du droit à la remise ou à la transmission des données personnelles.

³ La personne privée actualise régulièrement le règlement et le met à la disposition du conseiller à la protection des données sous une forme qui lui est intelligible.