Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

L’al. 2 dispose que les organes fédéraux doivent journaliser tous les traitements automatisés de données personnelles. Cela permet de respecter les exigences de l’art. 25 de la directive (UE) 2016/680 dans le cadre de la coopération instaurée par Schengen dans le domaine pénal.

Un nouvel al. 3 vient compléter cette réglementation en explicitant concrètement la teneur de la journalisation. Ainsi, elle doit fournir des informations sur la nature du traitement, l’identité de la personne qui a effectué le traitement, l’identité du destinataire et le moment auquel le traitement a eu lieu.

L’al. 4 reprend la teneur de l’art. 10, al. 2, OLPD à quelques modifications près. Les procèsverbaux de journalisation devront être conservés durant deux ans, séparément du système dans lequel les données personnelles sont traitées. La conservation séparée du système est nécessaire, car sinon le procès-verbal lui-même pourrait être manipulé ou chiffré en cas de cyberattaques. Le délai de conservation a été élevé pour s’établir à deux ans, parce qu’en cas de cyberattaques, les pirates restent souvent longtemps dans les systèmes, sans causer de dommages immédiats. Ces attaques ne sont pas toujours détectées d'emblée. Afin de pouvoir déterminer quand et comment les pirates se sont introduits dans le système, il est nécessaire de conserver les procès-verbaux plus longtemps. Un délai de conservation d’un an était trop court dans ce contexte. Les procès-verbaux sont uniquement accessibles aux organes ou personnes chargés de vérifier l’application des dispositions de protection des données personnelles ou de rétablir la confidentialité, l’intégrité, la disponibilité et la traçabilité des données, et ils ne seront utilisés qu’à cette fin. Une utilisation à des fins prévues par une loi spéciale, comme l’utilisation dans le cadre d’une procédure pénale, demeure bien entendu réservée.

La troisième phrase de l’art. 10, al. 1, OLPD, selon laquelle le préposé peut recommander la journalisation pour d'autres traitements, a été supprimée. Il serait contraire au système que le PFPDT puisse formuler des recommandations dans le domaine de la sécurité des données, qui fait l’objet d’une responsabilité pénale au sens de l’art. 61, let. c, nLPD. De plus, le

PFPDT peut sans autre ordonner une journalisation dans le cadre de ses compétences décisionnelles générales, décrites à l’art. 51 nLPD, dans le contexte d’une enquête.

Art. 4 Règlement de traitement des personnes privées

L’obligation d’établir un règlement s’adressait au "maître du fichier automatisé soumis à déclaration" selon l’art. 11a, al. 3, LPD, qui ne peut se prévaloir des art. 11a, al. 5 b à d, pour ne pas déclarer ses fichiers (art. 11, al. 1, OLPD). Dans la mesure où l’obligation de déclarer les fichiers pour les responsables du traitement privés (art. 11a LPD) n’existe plus dans la nLPD, l’art. 11 OLPD ne peut être repris tel quel.

L'obligation d'élaborer des règles de traitement incombe au responsable du traitement et à son sous-traitant. Par analogie à l'art. 12, al. 1, nLPD, le règlement de traitement doit également être établi séparément.

Selon l'approche fondée sur le risque, il faut toujours établir un règlement de traitement lorsque le risque est élevé. Ainsi, les responsables du traitement privés doivent établir un règlement pour les traitements automatisés lorsqu’ils traitent des données sensibles à grande échelle (let. a) ou effectuent un profilage à risque élevé (let. b). La let. a correspond à la disposition de l'art. 22, al. 2, let. a, nLPD et porte sur le traitement de données sensibles à grande échelle. Elle exclut les cas où ces données sont traitées de façon isolée.