Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

L’al. 3 reprend l’art. 11, al. 2, OLPD. L’obligation de mettre à disposition le règlement de traitement sur demande du préposé a été biffée. Le PFPDT pourra exiger l’accès au règlement dans le cadre d’une procédure d’enquête (art. 50, al. 1, let. a, nLPD), tout comme il pourra exiger l'accès au registre des activités de traitement.

Art. 5 Règlement de traitement des organes fédéraux

L’art. 5 correspond à l’art. 21 OLPD, sous réserve d’un certain nombre de modifications.

L'obligation d'élaborer des règles de traitement incombe au responsable du traitement et à son sous-traitant. Par analogie à l'art. 12, al. 1, nLPD, le règlement de traitement doit également être établi séparément.

La phrase introductive de l’al. 1 supprime les termes "fichiers automatisés" qui figurent à l’art. 21, al. 1, phrase introductive OLPD. Cette modification est nécessaire au motif que la nLPD ne recourt plus à la notion de "fichier". Cette norme prévoit dorénavant que les organes fédéraux responsables établissent un règlement de traitement dans les cas énumérés aux let. a à f.

En raison de l’abrogation de la notion de "profil de la personnalité" et de l’introduction de la notion de "profilage" par la nLPD, il est nécessaire de modifier l’art. 21, al. 1, let. a, OLPD en prévoyant à l’art. 5, al. 1, P-OLPD que l’organe fédéral responsable et son sous-traitant est tenu d’établir un règlement de traitement lorsqu’il traite des données sensibles (let. a),

lorsqu’il effectue des profilages au sens de l’art. 5, let. f, nLPD (let. b) ou lorsqu’il effectue des traitements de données personnelles au sens de l’art. 34, al. 2, let. c, nLPD (let. c). Le cas de figure de la let. a correspond au droit prévalant sous la LPD. En revanche, les let. b et c sont nouvelles. Elles remplacent l’obligation pour l’organe fédéral responsable d’établir un règlement de traitement pour tout fichier automatisé qui contient des profils de la personnalité (art. 21, al. 1, let. a, OLPD).

L’art. 5, al. 1, let. d P-OLPD ne subit que des modifications rédactionnelles par rapport à l’art. 21, al. 1, let. c OLPD.

Par rapport à l’art. 21, al. 1, let. d, OLPD, l’art. 5 al. 1, let. e est modifié en ce sens que le terme "fichier" est supprimé et c’est l’expression "ensemble de données" qui est utilisé.

En vertu de l’art. 5, al. 1, let. f, P-OLPD un règlement de traitement doit également être établi lorsque l’organe fédéral responsable exploite un système d’information ou gère des ensembles de données conjointement avec d’autres organes fédéraux. Cette disposition remplace l’art. 21, al. 1, let. b, OLPD qui prévoit une telle obligation lorsqu’un fichier automatisé est utilisé par plusieurs organes fédéraux.

L’al. 2 renvoie à la disposition qui concerne le contenu du règlement de traitement des personnes privées. Il convient donc de se référer aux commentaires formulés précédemment.

L’al. 3 est une version légèrement adaptée de l’art. 21, al. 3, OLPD. Le terme d’« organes chargés du contrôle » est remplacé par le conseiller à la protection des données et le PFPDT. Alors que le règlement de traitement doit être fourni au conseiller à la protection des données sans qu'il n'ait à le demander, il ne doit être délivré au PFPDT que si celui-ci le sollicite.