Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

L’alinéa 2 dresse la liste des indications que le règlement de traitement doit contenir au minimum. Les éléments de la liste reprennent, sous une forme parfois modifiée, et complètent les art. 11, al. 1 et 21, al. 2, OLPD. Comme dans le droit en vigueur, le règlement de traitement doit être conçu à la manière d'une documentation ou d'un manuel qui sert à la personne responsable¹¹. L’al. 2 s’applique aussi aux organes fédéraux puisque l’art. 5, al. 2, P-OLPD y renvoie.

− Les informations figurant aux let. a, b et c correspondent aux let. b, c et e de l'art. 12, al. 2, nLPD. Il s'agit d'indications qui doivent être données dans le registre des activités de traitement et elles pourront donc être copiées de ce registre.

− Comme c’est le cas actuellement, les responsables du traitement privés et leurs sous-traitants devront décrire l’organisation interne dans le règlement de traitement (let. d) : cela comprend aussi une description de l’architecture et du fonctionnement des systèmes.

− Conformément à l’art. 21, al. 2, let. b, OLPD, la provenance et le mode de collecte des données devront figurer dans le règlement. Par « origine », on entend la source concrète de l’information : registre du commerce, sites web publics, registre de clients, etc. Le mode de collecte permet de connaître la manière dont les données ont été récoltées, par exemple directement auprès des personnes concernées, via un questionnaire, via un accès direct limité à des systèmes d’information, ou de façon automatisée à partir de sources publiques (let. e).

− Il est crucial que les informations mentionnées à la lettre f apparaissent dans le règlement de traitement : il s’agit des mesures techniques et organisationnelles visant à garantir la sécurité des données. Le responsable et le sous-traitant devront indiquer les mesures qu’ils ont prises pour appliquer les objectifs de protection au sens de l’art. 2. Les indications au sens de la let. f devront aussi donner des renseignements sur la configuration des moyens informatiques, car ils constituent une mesure technique. L'ancien art. 21, al. 2, let. h, OLPD, qui mentionne expressément la configuration des moyens informatiques, n'a de ce fait pas été repris. Dans le règlement de traitement, il suffira de décrire les configurations de base des moyens informatiques ; il ne sera pas nécessaire d'entrer dans les détails techniques. − Les autorisations d’accès, la nature et l’étendue de l’accès devront aussi être incluses dans le règlement de traitement (let. g).

− La lettre h présente une nouvelle indication que le responsable du traitement et le sous-traitant devront faire figurer dans le règlement : les mesures prises pour la minimisation des données. Le principe de la minimisation des données est significatif pour la protection des données ; il découle, selon le message du 15 septembre 2017 sur la LPD¹², du principe de la proportionnalité au sens de l’art. 5, al. 2, nLPD.

− La lettre i dispose que les procédures de traitement des données, notamment les procédures d’enregistrement, de rectification, de communication, de conservation, d’archivage, de pseudonymisation, d’anonymisation, d’effacement ou de destruction des données devront apparaître dans le règlement de traitement. Les procédures de traitement des données qui ont été mises en œuvre et les modalités de leur exécution devront y être décrites. − Enfin, le règlement devra également décrire la procédure d'exercice du droit d'accès et du droit à la remise ou à la transmission des données personnelles (let. j). Le droit à la remise ou à la transmission des données devra uniquement être décrit dans le règlement de traitement s'il est autorisé en application de la loi, et notamment de l'art. 28 nLPD. Dans le cas des organes fédéraux en particulier, le règlement sera d'une importance secondaire.