Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

les entreprises suisses actives dans l'Union européenne qui garantissent une sécurité des données conforme au RGPD puissent aussi partir du principe qu'elles remplissent les exigences minimales en Suisse.

Du point de vue systématique, la sécurité des données sera réglée dans une section qui lui est dédiée. Dans l'OLPD actuelle, la sécurité des données est traitée séparément pour les personnes privées et les organes fédéraux : par souci de clarté et pour une meilleure lisibilité, ces dispositions ont été rassemblées. Lorsqu'elles sont différentes pour les personnes privées et les organes fédéraux, elles sont réglées dans des articles ou des alinéas distincts.

Art. 1 Principes

L’art. 1 P-OLPD règle les principes à respecter lorsqu’il s’agit de déterminer les mesures visant à garantir la sécurité des données. La densité normative de l’ancien art. 8 OLPD a été réduite dans ce nouvel article. Les al. 1 et 2 de l'art. 1, P-OLPD correspondent en substance aux al. 2 et 3 de l'art. 8 OLPD. L’al. 1 de l’art. 8 OLPD a en revanche été supprimé car les objectifs visant à garantir la sécurité des données sont désormais fixés au niveau de la loi :

l’art. 8, al. 2, nLPD dispose que les mesures doivent permettre d’éviter toute violation de la sécurité des données. D’après l’art. 5, let. h, nLPD, il y a violation dès lors qu’il y a une perte, une modification, un effacement, une destruction, une divulgation ou un accès non autorisé aux données, de manière accidentelle ou illicite, conformément aux objectifs de protection du domaine informatique que sont la confidentialité, l’intégrité, la disponibilité et la traçabilité.

D’après l’art. 8, al. 1, nLPD, les responsables du traitement et les sous-traitants doivent assurer une sécurité adéquate des données par rapport au risque encouru. L’art. 1, al. 1, P-OLPD reprend ce principe et fixe les critères selon lesquels la pertinence des mesures techniques et organisationnelles doit être évaluée. La liste des critères correspond au droit en vigueur, à l'exception de quelques reformulations.

− La finalité, la nature, l’étendue et les circonstances du traitement des données (let. a) : il s’agit en particulier du niveau de protection qui doit être garanti au vu de la mise en danger des droits de la personnalité et des droits fondamentaux des personnes concernées. Plus le besoin de protection est élevé, plus les exigences relatives aux mesures sont strictes. Dans ce contexte, il est par exemple déterminant de savoir si des données personnelles particulièrement sensibles sont traitées, ou si la finalité du traitement entraîne un risque accru pour les droits de la personnalité et les droits fondamentaux. En ce qui concerne la nature du traitement des données, l’aspect du degré d’automatisation peut aussi être pris en compte : le besoin de protection serait par exemple plus élevé dans le cas d’un traitement entièrement automatisé (utilisation de l’intelligence artificielle) que dans le cas d’un traitement effectué et vérifié par des personnes physiques. Les « circonstances » du traitement, ont été ajoutées à la let. a, conformément à l’art. 22, al. 2, nLPD.

− la probabilité d’une violation de la sécurité des données et son impact potentiel sur les personnes concernées (let. b) : la let. b a été reformulée afin qu’il soit clair qu’en plus de son impact potentiel, le degré de probabilité d’une violation de la sécurité des données est aussi décisif. Plus la probabilité d’une violation de la sécurité des données est élevée et plus les conséquences sur la personne concernée sont importantes, plus les exigences relatives aux mesures sont élevées. Il convient toutefois de relever que toute violation de la sécurité des données au sens de l’art. 5, let. h, nLPD ne constitue pas une violation des exigences minimales au sens de l’art. 8, al. 3, nLPD et donc une violation des devoirs de dilligence au sens de l’art. 61, let. c, nLPD. On ne peut ni ne doit exiger une sécurité absolue. Il est en