Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

4.1.2 Sous-traitance

Du point de vue systématique, les articles relatifs à la sous-traitance trouvent leur place dans la première partie relative aux dispositions générales, dans la mesure où ils s’appliquent tant au secteur public que privé. Cela permet aussi une meilleure cohérence avec la systématique de la nLPD.

Art. 6 Modalités

L’art. 6 P-OLPD détermine les modalités applicables lorsqu’un responsable du traitement sous-traite un traitement de données personnelles conformément à l’art. 9 nLPD. Il correspond en partie à l’art. 22 OLPD qui règle le traitement de données sur mandat d’un organe fédéral à un tiers.

D’un point de vue rédactionnel, la nouvelle disposition remplace la notion de "tiers" qui figure à l’art. 22, al. 2 et 3, OLPD par celle de sous-traitant et, pour les deux premiers alinéas, le terme "responsable du traitement" remplace celui d’"organe fédéral", dans la mesure où, et comme déjà indiqué ci-dessus, l’art. 9 nLPD s’applique tant au responsable du traitement privé que public. Enfin, les deux premiers alinéas subissent de légères adaptations formelles.

Sur le fond, l’al. 1 prévoit donc que le responsable du traitement, public ou privé, qui confie un traitement de données personnelles à un sous-traitant demeure responsable de la protection des données personnelles. A la seconde phrase de l’al. 1, le terme "mandat" (inscrit à l’art. 22, al. 2, OLPD), jugé trop étroit, est remplacé par ceux de "contrat" et de "loi" afin de rester fidèle à l’art. 9 nLPD. Cette seconde phrase précise la responsabilité et prévoit que le responsable doit s’assurer que le traitement est effectué conformément au contrat ou à la loi et que le sous-traitant ne traite les données qu'aux fins de l’exécution de la sous-traitance.

L'art. 22, al. 3, de la directive (UE) 2016/680 prescrit que le contrat ou la loi doit définir les aspects suivants: l’objet, la durée, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Par ailleurs, le contrat ou la loi prévoit notamment que le soustraitant n’agit que sur instruction du responsable du traitement ; l’aide, par tout moyen approprié, à veiller au respect des dispositions relatives aux droits de la personne concernée ; selon le choix du responsable du traitement, supprime toutes les données personnelles ou les restitue au responsable du traitement au terme de la sous-traitance, et détruit les copies existantes (sauf exigences légales contraires) ; et met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect du contrat ou de la loi.

L’art. 6, al. 2 P-OLPD correspond à l’art. 22, al. 3, OLPD, sous réserve que le terme "tiers" est remplacé par celui de "sous-traitant" et que ce sont les responsables du traitement dans leur ensemble qui sont appréhendés. Là aussi, quelques adapations purement formelles ont été effectuées.

L'al. 3 précise les modalités applicables lorsque le sous-traitant entend sous-traiter à son tour un traitement de données personnelles. Cet al. 3 ne concerne que les organes fédéraux.

Conformément au choix légistique du Conseil fédéral concernant l’étendue de la transposition de la directive (UE) 2016/680 (voir ch. 2.3 du message du 15 septembre 2017), celui-ci propose de transposer l’exigence prévue à l’art. 22 par. 2 de la directive (UE) 2016/680 à l’ensemble du secteur public, puisqu’il ne s’agit pas d’une norme spécifique à la coopération instaurée par Schengen dans le domaine pénal. Comme le mentionne le message du Conseil fédéral (FF 2017 6565, 6651), cette exigence de forme n'incombe pas au responsable du 23/85