Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

Un manque de formation et une absence d’informations pourraient par exemple entraîner une violation de la sécurité des données si un collaborateur ouvre un courriel contenant un logiciel malveillant.

En fin de compte, ce sont les circonstances du cas individuel qui sont déterminantes dans le choix des mesures qui doivent être fixées dans le cadre d’une pesée de tous les intérêts en présence.

Selon l’art. 1, al. 2, et comme dans le droit en vigueur, les mesures doivent être régulièrement réexaminées et, le cas échéant, adaptées. Il faudra en particulier vérifier si les mesures sont toujours appropriées au vu du risque, et si elles sont efficaces. Plutôt que d’avoir lieu de façon « périodique », cet examen devra se faire « à des intervalles appropriés ». La fréquence de cet examen dépend du risque pour les droits de la personnalité et les droits fondamentaux des personnes concernées : plus il est élevé, plus il faudra rééxaminer les mesures régulièrement. Le réexamen s’effectuera à une fréquence déterminée : un intervalle d’un à cinq ans peut être prévu entre chaque examen. Un réexamen peut en outre s’imposer lorsqu’une violation de la sécurité des données s’est produite ou que les modalités du traitement des données ont changé. L’art. 1, al. 2, précise en outre que ce sont à la fois la sécurité des données et le réexamen des mesures qui doivent être assurés pendant toute la durée du traitement, soit pendant tout le cycle de vie des données personnelles.

Art. 2 Objectifs de protection

L’art. 2 dresse une liste des objectifs de protection que les mesures organisationnelles et techniques doivent permettre d’atteindre. Dans le respect du principe de la proportionnalité, les mesures seront déterminées sur cette base, en fonction de chaque cas. Les responsables du traitement et les sous-traitants doivent déterminer quelles mesures seront adéquates pour respecter les objectifs de protection. Il est tout à fait concevable que tous les objectifs de protection ne soient pas pertinents dans tous les cas. Si un objectif n’est pas pertinent, les responsables du traitement et les sous-traitants doivent être en mesure de le justifier.

Cet article reprend en grande partie l’art. 9 OLPD à quelques modifications près. Les dispositions figurent désormais sous le titre « objectifs de protection ». Dans la phrase introductive, le terme de « maître du fichier » et le passage selon lequel les mesures sont particulièrement importantes lors du traitement automatisé de données personnelles ont été biffés. Les objectifs de protection en tant que tels ont été repris ou légèrement adaptés et trois nouveaux objectifs ont par ailleurs été ajoutés à la liste (let. i, j, k). Cet article permet à la Suisse de répondre aux exigences de l’art. 29 de la directive (UE) 2016/680.

L’ordonnance fait plusieurs fois référence aux personnes « non autorisées » et « autorisées ». Cela ne présuppose toutefois pas nécessairement l’implication directe d’une personne. On peut aussi inclure les cas dans lesquels des données personnelles sont traitées automatiquement par une application.

− La lettre a règle la question du contrôle de l’accès aux données. Cet objectif reprend celui de l’art. 9, al. 1, let. g, OLPD. Il s’agit principalement de définir les droits d’accès qui définissent le type et l’étendue des accès.

− La lettre b règle le contrôle de l’accès aux locaux et aux installations, qui figurait auparavant à l’art. 9, al. 1, let. a, OLPD. Les personnes non autorisées n’auront pas accès aux locaux et aux installations utilisées pour le traitement de données personnelles. Le terme « Anlagen » est une nouvauté dans la version allemande, qui n’utilisait auparavant que celui