Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

faudra pouvoir justifier à l’aide des procès-verbaux quelles données personnelles ont été communiquées, à qui et par quel moyen.

− La lettre i concerne la possibilité de restaurer la disponibilité des données personnelles et l’accès à ces données en cas d’incident physique ou technique. Elle a été ajoutée à la liste sur la base de l’art. 32, par. 1, let. c du règlement (UE) 2016/679 et correspond aux exigences de l’art. 29, par. 2, let. i de la directive (UE) 2016/680. L'une des mesures possibles consiste en l’élaboration et l’application d’un concept de sauvegarde.

− La lettre j dispose que toutes les fonctions du système doivent être disponibles (disponibilité), que les dysfonctionnements éventuels doivent être signalés (fiabilité) et que les données personnelles stockées ne doivent pas pouvoir être endommagées par des dysfonctionnements du système (intégrité des données). Elle a été ajoutée à la liste sur la base de l’art. 32, par. 1, let. b du règlement (UE) 2016/679 et correspond aux exigences de l’art. 29, par. 2, let. j de la directive (UE) 2016/680. Il faut garantir la stabilité et la résilience des systèmes utilisés dans la durée. Le système doit signaler les dysfonctionnements lui-même afin que les responsables du traitement et les sous-traitants en soient automatiquement informés.

− La lettre k exige que les responsables du traitement et les sous-traitants détectent rapidement les violations de la sécurité des données au sens de l’art. 5, let. h, et qu’ils prennent des mesures pour en réduire ou éliminer les conséquences. Contrairement à la let. j, la let. k concerne principalement les mesures prises en réaction à un problème par les responsables du traitement et les sous-traitants.

L’art. 9, al. 2, OLPD est supprimé car le Conseil fédéral ne l'estime plus nécessaire. Les motifs justifiant de refuser, restreindre ou différer une demande d’accès sont définis dans la loi (voir art. 26 nLPD). Ainsi, selon la nLPD, les responsables et les sous-traitants devront veiller à ce que les personnes concernées puissent effectivement exercer leurs droits et ce, indépendamment des technologies utilisées pour traiter leurs données personnelles.

Art. 3 Journalisation

Cette disposition remplace la réglementation figurant à l’art. 10 OLPD, qui s’applique aussi aux organes fédéraux en raison de la première phrase de l’art. 20, al. 1, OLPD. Cette réglementation se recoupe partiellement avec les objectifs de protection définis à l’art. 2 P-OLPD. De ce fait, la journalisation peut aussi constituer une mesure en vue de réaliser les objectifs de protection au sens de l’art. 2, let. g et h, P-OLPD.

L’objectif de la journalisation est de pouvoir vérifier le traitement des données personnelles a posteriori, afin de déterminer si des données ont été perdues, effacées, détruites, modifiées ou si elles ont été divulguées. La journalisation peut aussi fournir des renseignements permettant de savoir si les données personnelles ont été traitées conformément aux finalités. Elle sert en outre à déceler et à faire la lumière sur les violations de la sécurité des données. Elle n’est en revanche pas destinée à surveiller la façon dont les utilisateurs traitent les données personnelles.

Selon l’art. 3, al. 1, P-OLPD, la journalisation s'impose lorsque l’analyse d’impact sur la protection des données révèle que le traitement envisagé présente un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L’alinéa 1 vise les responsables du traitement privés et les sous-traitants, raison pour laquelle la notion de « maître du fichier » a été remplacée.