Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

2.1 Sécurité des données

L’art. 8, al. 3, nLPD oblige le Conseil fédéral à définir des exigences minimales en matière de sécurité des données personnelles. La nouvelle réglementation se fonde sur la norme en matière de sécurité des données actuellement fixée aux art. 8 ss. de l’OLPD. Les dispositions de ces articles sont toutefois retravaillées et complétées pour correspondre à l’état actuel des technologies et répondre aux exigences de la directive (UE) 2016/680 qui relève de l'acquis Schengen. La compatibilité avec le règlement européen sur la protection des données

(RGPD) revêt également une importance centrale, afin que les entreprises suisses actives dans l'Union européenne qui garantissent une sécurité des données conforme au RGPD puissent partir du principe qu'elles remplissent aussi les exigences minimales en Suisse.

L’ordonnance ne pose pas d’exigences minimales strictes en matière de sécurité des données qui s’appliqueraient uniformément à tous : une réglementation de cette sorte ne serait pas pratique. Tout comme l’art. 8, al. 1, nLPD, qui évoque une sécurité adéquate des données personnelles par rapport au risque encouru, l’ordonnance suit elle aussi une approche fondée sur le risque : le responsable doit déterminer les mesures à prendre en fonction du risque. L’ordonnance précise les critères à prendre en compte dans cette évaluation et fournit une ligne directrice quand à la façon de concevoir les mesures en dressant une liste d’objectifs de protection (art. 1 et 2 P-OLPD).

Le projet étend et concrétise l’obligation de journalisation des opérations (art. 3 P-OLPD). Les responsables du traitement privés devront journaliser tous les traitements automatisés de données personnelles lorsqu’ils présentent un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Les organes fédéraux devront quant à eux journaliser tout traitement de données personnelles. Enfin, la durée de conservation des procèsverbaux de journalisation passera d’une année à deux ans.

Les responsables du traitement privés devront continuer d'établir un règlement de traitement (art. 4 s. P-OLPD).

2.2 Communication de données personnelles à l’étranger

La section portant sur les communications de données personnelles à l’étranger a été entièrement revue. En effet, selon la nLPD, le Conseil fédéral déterminera quels États ou organismes internationaux garantissent un niveau de protection adéquat. Pour cette raison, l’ordonnance fixe désormais les critères dont le Conseil fédéral devra tenir compte dans son évaluation (art. 8 P-OLPD). Un tableau énumérant les États et organismes internationaux qui garantissent un niveau de protection adéquat figure à l’annexe 1. Cette énumération n’est pas encore définitive : il faudra attendre les décisions d’adéquation de la Commission européenne et tenir compte des évolutions en ce qui concerne les ratifications de la Convention 108+. Ces facteurs sont importants, particulièrement dans la perspective d'un espace uniforme en matière de protection des données ; le Conseil fédéral devra en tenir compte lors de son évaluation. La liste des États et des organismes internationaux offrant un niveau de protection adéquat, sera réévaluée périodiquement après l’entrée en vigueur de l’ordonnance (art. 8, al. 3, P-OLPD).

Par ailleurs, l’ordonnance concrétise les autres possibilités de garantir un niveau de protection approprié citées à l’art. 16, al. 2, nLPD (p. ex. les clauses type de protection des données) (art. 9 ss. P-OLPD)

Enfin, le Conseil fédéral fait usage de la norme de délégation prévue à l'art. 16, al. 3, nLPD, au sens duquel il peut prévoir d'autres garanties appropriées. Ainsi, les données personnelles