Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

d’« Einrichtungen ». Le français mentionnait déjà quant à lui les « locaux et [...] installations ». Avec le terme « installations », il convient de comprendre que l’accès aux installations de traitement mobiles doit également être empêché. Cela couvre une large variété d’appareils : des serveurs physiques, installés dans un endroit fixe, en passant par les ordinateurs, les téléphones portables, et les tablettes, à tous les appareils pouvant servir au traitement de données personnelles. Pour éviter ces accès non autorisés, il sera possible d’utiliser des alarmes ou des racks de serveurs (armoires) verrouillables.

− La lettre c règle le contrôle des supports de données, qui figurait à l’art. 9, al. 1, let. b

OLPD. Elle prévoit qu’il est interdit aux personnes non autorisées de lire, copier, modifier, déplacer ou supprimer des supports de données. Il faut surtout éviter que des données personnelles soient transférées sur des supports de données (p. ex. disques durs, clés USB) sans que cela ne soit contrôlé. Les services en ligne, de type cloud, sont aussi considérés comme des supports de données. On pourra par exemple crypter ces supports ou les détruire de façon appropriée.

− La lettre d correspond à l’art. 9, al. 1, let. e, OLPD et porte sur le contrôle de mémoire. L’objectif de protection consiste à empêcher les personnes non autorisées d'introduire des données personnelles dans la mémoire, de le consulter, de le modifier ou de l'effacer. Pour faire respecter cet objectif, on pourra établir différents niveaux de droits d’accès aux données, aux applications et aux systèmes d’exploitation, et journaliser les accès aux applications.

− La lettre e reprend le contrôle d’utilisation qui figurait à l’art. 9, al. 1, let. f, OLPD. Le but est d’éviter l’utilisation par des personnes non autorisées des systèmes de traitement automatisé de données personnelles au moyen d’installations de transmission. Des contrôles réguliers des autorisations (p. ex. en bloquant certaines autorisations suite à un changement de personnel ou à la modification des tâches d’une personne) et l’installation de programmes contre les virus et les logiciels espions sont par exemple envisageables.

− La lettre f aborde le contrôle du transport (actuellement art. 9, al. 1, let. c, OLPD). En ce sens, il faut empêcher les personnes non autorisées de lire, copier, modifier ou effacer des données personnelles lors de leur communication ou lors du transport de supports de données. Le responsable du traitement et les sous-traitants doivent faire en sorte que le destinataire des données les reçoive sous leur forme originale, et qu’aucun tiers ne puisse les intercepter sans y avoir été autorisé. Les exigences concernant les mesures à prendre sont particulièrement élevées dans le cadre du traitement de données sensibles. Le chiffrement des données et des supports sont notamment des mesures efficaces.

− La lettre g règle le contrôle de la saisie. Selon l’art. 9, al. 2, let. h, OLPD, il doit être possible de vérifier a posteriori l’identité des personnes saisissant des données personnelles dans le système automatisé, ainsi que les données saisies ou modifiées et le moment de leur saisie ou modification. L’objectif de protection a été complété pour couvrir les modifications : il est explicitement écrit que la modification de données personnelles doit pouvoir être vérifiée a posteriori. Un des moyens d’assurer cette vérification est la journalisation.

− La lettre h porte sur le contrôle de la communication. Elle reprend l’art. 9, al. 1, let. d,

OLPD, avec une formulation légèrement différente. D’après la let. h, il doit être possible de vérifier à qui des données personnelles sont communiquées à l’aide d’installations de transmission. Les mesures prises à cet effet doivent permettre d’identifier les destinataires des données. Dans certaines circonstances, connaître l’organe en tant que tel peut être suffisant, sans que la personne physique ne doive forcément être identifiable. Au besoin, il