Projet

Art. 5 Règlement de traitement des organes fédéraux

¹ L’organe fédéral responsable et son sous-traitant établissent un règlement pour les traitements automatisés en cas:

a. de traitement de données sensibles;

b. de profilage;

c. de traitement de données personnelles au sens de l’art. 34, al. 2, let. c, LPD;

d. d’accès aux données personnelles accordé à des cantons, des autorités étrangères, des organisations internationales ou des personnes privées;

e. d’ensembles de données interconnectés, ou

f. d’exploitation d’un système d’information ou de gestion d’ensembles de données conjointement avec d’autres organes fédéraux.

² Le règlement de traitement contient au moins les indications prévues à l’art. 4, al. 2.

³ L’organe fédéral responsable actualise régulièrement le règlement et le met à la disposition du conseiller à la protection des données sous une forme qui lui est intelligible, ainsi qu’à la disposition du Préposé fédéral à la protection des données et à la transparence (PFPDT), si celui-ci en fait la demande.

Section 2 Sous-traitance

Art. 6 Modalités

¹ Le responsable du traitement qui confie un traitement de données personnelles à un sous-traitant demeure responsable de la protection des données. Il s’assure que les données soient traitées conformément au contrat ou à la loi.

² Lorsqu’un sous-traitant n’est pas soumis à la LPD, le responsable du traitement s’assure que d’autres dispositions légales garantissent une protection équivalente. A défaut, il s’assure qu’une telle protection est garantie par des clauses contractuelles.

³ Lorsque le responsable de traitement est un organe fédéral, le sous-traitant ne peut sous-traiter le traitement des données à un tiers que si l’organe fédéral l’a approuvé par écrit.

Art. 7 Information du conseiller à la protection des données de l’organe

fédéral

L’organe fédéral informe sans délai le conseiller à la protection des données de la conclusion d’un contrat avec un sous-traitant ou de l’autorisation de sous-traiter le traitement des données à un tiers. Il informe également le conseiller à la protection des données si des problèmes surviennent dans le respect des exigences légales ou contractuelles de protection des données personnelles.