Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

tâches sont décrites plus en détail dans l’art. 25 P-OLPD, qui reprend les dispositions de l’art. 12b OLPD.

Al. 1, let. a

Cette disposition reprend l’art. 12b, al. 1, let. a OLPD, avec quelques légères adaptations.

En application de la let. a, le conseiller à la protection des données doit contrôler le traitement des données personnelles ainsi que ses exigences et proposer des mesures s’il constate que des prescriptions de protection des données ont été violées. Il surveille le respect de la législation sur la protection des données et des éventuelles prescriptions internes relatives à la protection des données édictées par le responsable du traitement. L'ajout d’« ainsi que ses exigences » souligne que le conseiller doit aussi vérifier si les prescriptions internes de protection des données sont compatibles avec la législation. Le responsable du traitement ne peut en aucun cas infliger des sanctions à l’encontre du conseiller à la protection des données dans l'exercice de ses fonctions.

Dans ce contexte, il est opportun de préciser que le conseiller à la protection des données a, comme son nom l’indique, une fonction de conseil et de soutien. Puisqu’il a une compétence décisionnelle, le responsable du traitement est bien la seule personne responsable du respect de la protection des données, en particulier vis-à-vis des personnes concernées. La tâche visée à la let. a n’engage en principe pas la responsabilité du conseiller à la protection des données si le responsable du traitement contrevient à la législation.

Al. 1, let. b

Cette disposition est nouvelle et concrétise le rôle du conseiller à la protection des données dans la réalisation des analyses d’impact relatives à la protection des données.

En vertu de l’art. 23, al. 4, nLPD, le responsable du traitement privé peut renoncer à consulter le PFPDT à la suite d’une analyse d’impact relative à la protection des données s’il a nommé un conseiller au sens de l’art. 10 nLPD et qu’il l’a consulté au sujet de ladite analyse. Il ne suffit pas de lui soumettre les résultats de l’analyse une fois celle-ci effectuée. Le conseiller doit en effet véritablement concourir à la réalisation de l’analyse. Il vérifie tout particulièrement l’évaluation des risques et les mesures proposées par le responsable du traitement.

Idéalement, le responsable du traitement devrait toujours prévoir de recourir au conseiller,

mais ce n'est une obligation que dans le cas où il doit renoncer à consulter le PFPDT en application de l'art. 23, al. 4, nLPD.

Al. 2

Cet alinéa reprend le contenu de l’art. 12b, al. 2, let. b et c, OLPD. L’énumération des documents que le conseiller à la protection des données doit pouvoir consulter est harmonisée avec la nouvelle terminologie de la nLPD. Le conseiller ne doit pas avoir un accès illimité,

mais seul un accès aux documents dont il a effectivement besoin pour accomplir ses tâches doit lui être octroyé. Par exemple, il ne faut lui donner accès aux données personnelles que si elles sont nécessaires à l'exécution de ses tâches. Si, par exemple, le conseiller à la protection des données procède à un examen général des prescriptions internes de protection des données ou des processus de traitement des données, il n'a normalement pas besoin de consulter les données personnelles.