Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

Il convient encore de mentionner que les art. 5 et 7 OLPD ne sont pas repris : le premier a désormais été intégré au niveau de la nLPD (art. 18) et le second, qui donnait au PFPDT la compétence d’édicter une liste des Etats ayant un niveau de protection adéquat, n’est plus pertinent, puisque cette compétence revient au Conseil fédéral (art. 16, al. 1, nLPD).

4.2 Obligations du responsable du traitement et du sous-traitant

Art. 13 Modalités du devoir d’informer

Al. 1

Le devoir d’informer du responsable du traitement et du sous-traitant est ancré à l’art. 19 nLPD. Il est accompagné d’exceptions et de restrictions inscrites à l’art. 20 nLPD. A l’art. 19 al. 1 nLPD, il est spécifié que la personne concernée doit être informée "de manière adéquate". Cela implique que les informations soient communiquées si possible de manière concise, compréhensible et aisément accessible. En d’autres termes, cela signifie que le responsable du traitement ou le sous-traitant doivent s’assurer, lors du choix des modalités d’informations, que les informations les plus importantes sont toujours transmises dans le premier niveau de communication avec la personne concernée. Par exemple, lorsque la communication se fait sur un site internet, une bonne pratique peut consister à faire en sorte que les informations essentielles soient toutes disponibles en un coup d’œil. Pour obtenir des informations complémentaires, la personne concernée pourra ensuite cliquer sur ces premières informations et cela ouvrira une autre fenêtre contenant des détails supplémentaires. Il faut néanmoins préciser que la communication par un site internet n’est pas toujours suffisante : il faut que la personne concernée sache qu’elle trouvera ces informations sur un site en particulier. Autre exemple, si la communication se fait dans un environnement téléphonique, des explications orales peuvent être fournies par une personne physique, lesquelles peuvent être complétées par un renvoi vers un site internet ; s’il s’agit d’informations enregistrées, la personne concernée devra avoir la possibilité d’entendre des informations plus détaillées. Enfin, dans un environnement "réel" où la personne pourra être filmée par un système de vidéosurveillance fixe ou par un drone, une signalisation visible ou une campagne d’information devront par exemple mentionner cette activité.

Al. 2

Afin de permettre une présentation claire et compréhensible, les informations peuvent être accompagnées de pictogrammes. L’utilisation de pictogrammes ne peut se faire qu’en plus de la communication des informations nécessaires aux personnes concernées, pour en améliorer la transparence, mais elle ne peut pas remplacer une telle communication. L’ordonnance précise encore que lorsque les pictogrammes sont présentés par voie électronique, ils doivent être lisibles par machine. Cela signifie que des logiciels peuvent facilement identifier, reconnaître et extraire des informations de ces formats et cela permet notamment de comparer des documents, ainsi que, plus largement, une certaine automatisation.

Les exceptions au devoir d’informer, et en particulier celles prévues par l’art. 20, al. 2, nLPD ne nécessitent pas d’être précisées outre mesure, puisque le message donne déjà des exemples de ce qu’on entend par une information "impossible" à donner ou les "efforts disproportionnés" que cela demanderait au responsable du traitement ou au sous-traitant (cf. FF 2017 6671 ss).

L'art. 13, al. 1 et 2 s'appliquent aussi au devoir d'informer en cas de décision individuelle automatisée au sens de l'art. 21 nLPD.