Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

L’art. 12b, al. 2, let. a, OLPD n’est en revanche pas repris car la condition qu’il mentionne est dorénavant prévue dans la loi elle-même (art. 10, al. 3, let. a, nLPD).

Suppression de l’art. 12a OLPD

Cette disposition est supprimée dans la mesure où son contenu figure désormais dans la loi (art. 10, al. 3, let. b et c, nLPD).

Art. 26 Exception à l’obligation de tenir un registre des activités de traitement

En vertu de l’art. 12 nLPD, les responsables du traitement et les sous-traitants doivent tenir chacun un registre des activités de traitement. Celui-ci doit contenir certaines informations minimales telles que l’identité du responsable du traitement, la finalité du traitement, une description des catégories des personnes concernées et des catégories des données personnelles traitées, les catégories des destinataires, dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation ainsi qu’une description générale des mesures visant à garantir la sécurité des données selon l’art. 8 nLPD et, en cas de communication de données personnelles à l’étranger, le nom de l’Etat en question et les garanties prévues à l’art. 16, al. 2, nLPD.

Pour certaines PME, la tenue d’un tel registre est susceptible d’entraîner une charge administrative disproportionnée par rapport aux risques potentiels des traitements pour la personnalité des personnes concernées. Pour cette raison, il est prévu que le Conseil fédéral prévoie des exceptions à l’obligation de tenir ce registre. Dans la mesure où l’art. 12, al. 5, nLPD habilite le Conseil fédéral à prévoir des exceptions pour les entreprises, y compris les entreprises individuelles, il est logique que l’exécutif soit également autorisé à appliquer ces exceptions aux personnes physiques et aux autres entités juridiques telles que les associations et les fondations. Cela semble approprié, car la tenue du registre, comme pour les PME,

pourrait impliquer un effort disproportionné.

Cet article 26 concrétise donc l’art. 12, al. 5, nLPD en précisant qui est concerné par cette exception et quels sont les cas dans lesquels les risques d’atteintes sont limités (cf. message, FF 2017 6656). Il prévoit que les entreprises, et autres organismes de droit privé, de moins de 250 collaborateurs au début d’une année, indépendamment du taux d’occupation, et les personnes physiques sont déliés de leur obligation de tenir un registre des activités de traitement si les traitements ne portent pas sur des données sensibles à grande échelle (let. a) et ne constituent pas un profilage à risque élevé (let. b). Autrement dit, seules les PME qui effectuent des traitements à risque élevé sont obligées de tenir un registre des activités de traitement. En ce qui concerne la let. a, nous renvoyons aux commentaires relatifs à l'art. 4, al. 1, let. a, P-OLPD relatif à l’obligation, pour les personnes privées, d’établir un règlement de traitement. Bien entendu, les PME exemptées de cette obligation peuvent volontairement choisir de tenir un registre des activités de traitement. Il s’agit d’un instrument simple et efficace qui permet au responsable traitant régulièrement des données personnelles de garder une vue d’ensemble sur les activités de traitement. Cela peut aussi aider le responsable à respecter d’autres obligations, telles que le devoir d’information.

4.5 Dispositions particulières pour le traitement de données personnelles par des organes fédéraux

4.5.1 Conseiller à la protection des données personnelles

Les art. 27 à 30 P-OLPD remplacent l’art. 23 OLPD, qui concerne le conseiller à la protection des données des organes fédéraux.