Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

et les mesures prises ou envisagées (let. f) qui lui sont communiquées par le responsable du traitement. Le responsable du traitement devra aussi indiquer au PFPDT quelles mesures concrètes les personnes concernées peuvent prendre (p. ex. changement immédiat de mot de passe si des données de connexion ont été volées, ou blocage de la carte). Enfin, le responsable du traitement devra fournir le nom et les coordonnées d'une personne de contact (let. g) pour la communication avec le PFPDT et la personne concernée.

L'al. 2 permet au responsable du traitement de fournir progressivement les informations au PFPDT s'il n'est pas en mesure de lui fournir toutes les informations visées à l'al. 1 au moment où une violation de la sécurité des données est détectée. D'après l'art. 24, al. 1, nLPD, le responsable doit annoncer ces violations « dans les meilleurs délais ». Toutefois, en pratique, les informations au sens de l'al. 1, let. b à d, ne sont souvent pas disponibles immédiatement après la détection de la violation. L'al. 2 permettra donc au responsable du traitement de ne fournir que les informations dont il dispose dans un premier temps. Dès qu'il disposera des autres informations, qu'il doit tâcher de réunir sans retard injustifié, il les transmettra au PFPDT au fur et à mesure.

L’al. 3 indique les informations qui doivent être communiquées à la personne concernée si celle-ci doit être informée en application de l’art. 24, al. 4, nLPD. Il est par ailleurs précisé que cette communication devra se faire dans un langage simple et compréhensible, ce qui n’est pas nécessairement le cas de l’annonce au PFPDT. En effet, il ne faut pas considérer que la personne lambda connaît le jargon de cette matière technique. Le contenu de l’annonce au PFPDT est décrit de façon plus extensive car celui-ci doit pouvoir se faire une idée de l’ampleur de la violation de la sécurité des données.

Lorsqu’il s’agit d’un organe fédéral, c’est le conseiller à la protection des données qui fera l’annonce (al. 4). Les organes fédéraux devront assurer au moyen d’instructions ou d’autres instruments que les unités concernées informeront immédiatement le conseiller des violations de la sécurité des données afin que celui-ci puisse à son tour l’annoncer aussi rapidement que possible en application de l’art. 24, al. 1, nLPD.

L’al. 5 prescrit qu’il faut documenter tous les faits relatifs aux violations de la sécurité des données, leurs effets ainsi que les mesures prises. Les documents devront être conservés pendant au moins trois ans à compter de la date à laquelle la violation est annoncée.

Dans le contexte de la mise en œuvre de l’obligation d’annoncer de l’art. 24 nLPD, ajoutons qu’il faudra s’attendre à ce que le PFPDT reçoive un grand nombre d’annonces chaque année : c’est ce qui ressort de l'expérience des autorités de surveillance étrangères depuis que l’obligation de notification, semblable à la nôtre, inscrite à l’art. 33 du règlement (UE)

2016/679 est entrée en vigueur. Des échanges avec l’office de la protection des données de la Bavière ont permis d'estimer qu’environ 6000 annonces pourraient être faites chaque année en rapportant les chiffres enregistrés à la Suisse. Le PFPDT se penche actuellement sur le développement d’une interface web pour les annonces, qui devrait revêtir la forme d’un formulaire interactif afin de structurer les annonces et d'assurer un traitement efficace du grand nombre d'annonces à venir. Dans le cadre de ce projet, il étudie la possibilité de créer un portail d’annonce en commun avec les autres organes fédéraux qui prévoient aussi des possibilités de ce type pour les annonces de violation de la sécurité des données (p. ex. l’annonce volontaire de cyberincidents au Centre national pour la cybersécurité [NCSC]). Un portail commun permettrait de réduire la charge de travail des responsables du traitement, surtout s’ils doivent soumettre des annonces à plusieurs services de la Confédération. Enfin, ce type de portail pourrait permettre d’augmenter le nombre d’annonces volontaires car elles ne nécessiteraient plus de travail supplémentaire.