Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

effet concevable que le responsable du traitement ait pris toutes les mesures adéquates, mais que la sécurité des données soit malgré tout violée en raison du risque résiduel ; cela ne saurait être imputé au responsable. Dans le cadre des exigences minimales, il importe surtout de vérifier si le responsable du traitement et le sous-traitant ont pris des mesures adéquates dans le cas concret, qu’il y ait eu une violation de la sécurité des données ou non.

− l’état de la technique (let. c) : les mesures doivent être fixées, ou adaptées, en fonction de l’état actuel de la technique. Il suffit d’utiliser des mesures déjà disponibles et qui ont prouvé leur efficacité. On ne saurait exiger le recours à des techniques ultramodernes, non testées, ou qui sont encore en cours de développement.

− les coûts de mise en œuvre (let. d) : ces coûts sont un critère d’évaluation de l’adéquation des mesures, dans le droit en vigueur aussi – comme il ressort du « Commentaire de l’Office fédéral de la justice à l’appui de l’ordonnance du 14 juin 1993 (état au 1^er janvier 2008) relative à la loi fédérale sur la protection des données (OLPD, RS 235.11) », ch. 6.1.1⁹. Il faut toutefois commencer par déterminer quelles sont les mesures techniques et organisationnelles nécessaires compte tenu des critères des let. a à c. Les responsables du traitement et les sous-traitants ne peuvent pas se soustraire à l’obligation d’assurer une sécurité des données adéquate au motif que cela occasionne des coûts excessifs ; au contraire, ils doivent toujours être en mesure de garantir une sécurité adéquate. L’absence d’un concept au moment du développement n’est pas non plus un argument pouvant justifier que les coûts d’implémentation du moyen de mise en œuvre de la sécurité des données sont trop élevés une fois que le système est mis en service. Si l’on est en présence d’un système hérité, il faut tenir compte du temps nécessaire jusqu’à son remplacement (cycle de vie). Le critère des coûts signifie en revanche que lorsqu’il existe plusieurs mesures permettant de garantir un niveau de protection des données adéquat en toutes circonstances, on puisse privilégier la variante la plus économique¹⁰.

Diverses mesures peuvent être prises pour assurer la sécurité des données. En voici trois exemples :

− anonymisation, pseudonymisation et chiffrement des données personnelles : l’anonymisation sert surtout à diminuer les éventuelles conséquences négatives qui pourraient affecter une personne dont les données personnelles auraient été divulguées sans son autorisation. Si les données sont anonymisées, la LPD ne s’applique pas.

− procédure d’identification, d’analyse et d’évaluation des risques et évaluation de l’adéquation des mesures : au delà d’un certain degré de risque, il peut être judicieux ou parfois même nécessaire d’implémenter une procédure et des processus standardisés qui permettent non seulement de réexaminer régulièrement les risques et l’adéquation des mesures, mais aussi de les évaluer. Toutes ces mesures sont particulièrement importantes en présence de systèmes automatisés : elles contribuent à garantir la sécurité des données sur le long terme et elles permettent de fournir plus facilement une preuve de cette sécurité.

− formation et conseils aux personnes chargées de la mise en œuvre des mesures : le Conseil fédéral considère que cette mesure est importante car la mise en œuvre et l’efficacité de la sécurité des données dépend des personnes qui appliquent les mesures définies.