Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

La première phrase prescrit que l’analyse doit être consignée par écrit et sous une forme compréhensible. La forme écrite comprend à la fois les documents papiers et ceux sous forme électronique. Elle est particulièrement importante pour prouver qu’une analyse d’impact a bien été faite.

La deuxième phrase porte quant à elle sur la durée de conservation. Si l'analyse d'impact relative à la protection des données doit être conservée après que le traitement des données ait eu lieu, c'est parce qu'elle constitue un instrument central de la législation sur la protection des données. Elle peut notamment se révéler importante lorsqu'il faut faire la lumière sur une violation de la sécurité des données ou évaluer la punissabilité d'un comportement. Elle fournit donc des informations sur la façon dont on a évalué les risques pour la personnalité et les droits fondamentaux, et les mesures qui ont été prises. Dans le cas des organes fédéraux qui, en principe, ne peuvent traiter des données que s’il existe une base légale, il peut arriver qu'en raison de certaines bases légales existant depuis longtemps, une analyse d'impact relative à la protection des données doive être conservée pendant une très longue période (par exemple plusieurs décennies).

Dans le cas des organes fédéraux, il sera également nécessaire de réglementer la manière dont l'analyse d'impact relative à la protection des données doit être coordonnée avec la procédure législative de création de la base légale pour le traitement des données. Il convient de prévoir que les organes fédéraux doivent inclure l'analyse d'impact relative à la protection des données avec les projets d'actes législatifs dans la demande au Conseil fédéral et qu'ils doivent intégrer les résultats de l'analyse d'impact relative la protection des données au message du Conseil fédéral. Toutefois, étant donné que la réglementation n'a que le caractère d’une directive interne à l'administration fédérale, elle ne doit pas être réglée au niveau de l’ordonnance. Il est prévu de mettre en œuvre ces règles dans les directives sur les affaires du Conseil fédéral ("classeur rouge") et dans l’aide-mémoire sur la présentation des messages du Conseil fédéral.

Art. 19 Annonce des violations de la sécurité des données

L’art. 24, al. 2, nLPD spécifie les indications minimales que le responsable du traitement doit communiquer lors de l’annonce d’une violation de la sécurité des données au PFPDT : la nature de cette violation, ses conséquences et les mesures prises ou envisagées. L’art. 19, al.1, P-OLPD précise plus en détail le contenu de cette annonce. Il convient de relever que l'annonce au PFPDT au sens de l'art. 24, al. 1, nLPD se limite aux violations de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Le terme de « vraisemblablement » indique clairement que même en cas de doute, pour les cas dans lesquels on ne peut exclure l'existence d'un risque élevé, il faut annoncer une violation.

L’al. 1 comporte un catalogue d’informations : outre la nature de la violation des données,

déjà mentionnée dans la loi (let. a), il faudra communiquer, dans la mesure du possible, le moment et la durée de la violation de la sécurité des données (let. b). Le PFPDT pourra ainsi vérifier si le responsable du traitement a respecté son devoir d’annoncer la violation aussi rapidement que possible. Le responsable devra aussi communiquer dans la mesure du possible les catégories et le nombre approximatif de données personnelles concernées par la violation (let. c) ainsi que les catégories et le nombre approximatif de personnes concernées (let. d). Ces informations sont cruciales pour estimer la gravité de la violation. Le PFPDT a en particulier besoin de savoir quelles catégories de données personnelles sont concernées (p. ex. adresses, informations relatives aux cartes de crédit, données concernant la santé) pour comprendre les conséquences et les risques pour les personnes concernées (let. e)