Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

Enfin, un traitement sûr des données personnelles renforce la confiance du public envers les technologies numériques et leurs fournisseurs. Une meilleure protection des données permet donc de renforcer la numérisation.

4 Commentaire du P-OLPD

4.1 Dispositions générales

4.1.1 Sécurité des données

La loi pose les garde-fous permettant de garantir la sécurité des données. D'après l'art. 8,

al. 1, nLPD, les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru. Selon l'al. 2, ces mesures doivent permettre d'éviter toute violation de la sécurité des données. Enfin, l'al. 3 charge le Conseil fédéral de préciser les exigences minimales en matière de sécurité des données au niveau de l'ordonnance.

Le Conseil fédéral remplit le mandat légal prévu à cet alinéa via les dispositions sur la sécurité des données du P-OLPD. La disposition pénale de l'art. 61, let. c, nLPD renvoie également à ces exigences minimales. Le degré de sécurité à respecter pour ne pas violer la disposition pénale dépend des principes et des critères définis dans la section 1 de l'ordonnance. Seule une infraction commise intentionnellement est punissable au sens de l'art. 61, let. c, nLPD. Cela présuppose donc que le responsable ne respecte pas, en connaissance de cause et de manière délibérée, les exigences minimales en matière de sécurité des données. Par exemple, une personne serait punissable si elle n'installait pas de logiciel anti-virus, alors qu’elle sait (ou du moins accepte) qu'elle prend des mesures insuffisantes pour se conformer aux exigences minimales de sécurité des données.

Il a été renoncé à inscrire des exigences minimales strictes dans le P-OLPD car la loi suit une approche fondée sur le risque et qu'il est impossible de fixer des exigences minimales générales applicables à chaque branche. L'approche suivie dans le P-OLPD repose plutôt sur le fait qu'il incombe en premier lieu au responsable du traitement de déterminer les mesures nécessaires dans un cas précis, et de les prendre. Ces mesures ne peuvent être prises qu'au cas par cas, et leur portée dépend du risque encouru. En toute logique, les exigences sont plus élevées pour un hôpital qui traite régulièrement des données sensibles que pour une boulangerie ou une boucherie qui traite les données de ses clients ou de ses fournisseurs. Le P-OLPD contient surtout des lignes directrices permettant de déterminer les mesures à prendre (art. 1 et 2 P-OLPD). Cela permet de garantir la flexibilité nécessaire pour couvrir le large éventail de cas et éviter un excès de réglementation, en particulier pour les entreprises pour lesquelles les traitements de données sont rares et présentent peu de risques.

Les mesures spécifiques pour la garantie de la sécurité des données prévues dans le droit en vigueur sont conservées : la journalisation (art. 3 P-OLPD) et les règlements de traitement (art. 4 et 5 P-OLPD). Le Conseil fédéral continue de suivre une approche fondée sur le risque : plus les droits de la personnalité et les droits fondamentaux de l'individu sont menacés, plus les exigences sont élevées.

Dans le droit en vigueur, les exigences minimales en matière de sécurité des données sont réglées aux art. 8 à 12 et 20 à 21 OLPD. Le Conseil fédéral a décidé de se fonder sur les dispositions actuelles dans le projet de révision : les dispositions de droit matériel sont en principe reprises telles quelles. Les adaptations ont uniquement été effectuées lorsqu'elles semblaient nécessaires en raison de la numérisation ou des progrès techniques, des dispositions de la loi révisée, ou de la directive (UE) 2016/680, applicable à la Suisse (notamment son art. 29). En outre, le Conseil fédéral s'est appuyé sur le règlement (UE) 2016/679 afin que