Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

Art. 27 Désignation

L’art. 27 P-OLPD met en œuvre l’art. 10, al. 4, nLPD et l’art. 32 de la directive (UE) 2016/680. La règle selon laquelle plusieurs organes fédéraux pourront désigner conjointement un conseiller à la protection des données commun vise surtout à permettre aux organes plus petits ou aux départements avec une structure organisationnelle centralisée d’utiliser des synergies et de faire des économies. À l’inverse, on attend par exemple que les plus grands offices de l’administration fédérale disposent de leur propre conseiller. Naturellement, les organes pourront aussi désigner plusieurs conseillers à la protection des données.

Art. 28 Exigences et tâches

L’art. 28, al. 1, P-OLPD reprend à la let. a l'exigence posée à l’art. 12a, al. 2, 2^e phrase,

OLPD. La let. b dispose que le conseiller à la protection des données de tous les organes fédéraux devra obligatoirement exercer sa fonction de manière indépendante et sans recevoir d’instructions de la part du responsable du traitement (actuellement, seuls les organes qui souhaitaient être déliés du devoir de déclarer leurs fichiers [voir art. 23, al. 2, OLPD] devaient satisfaire aux exigences des art. 12a et 12b OLPD). Ce principe figure actuellement à

l’art. 12b, al. 2, let. a OLPD et il s'agit d'une réglementation similaire à celle relative aux responsables du traitement privés de l’art. 10, al. 3, let. a, nLPD. Ces règles renforcent et institutionnalisent le rôle du conseiller à la protection des données au sein des organes fédéraux, qui ont en général une hiérarchie stricte, de façon à ce qu’il puisse remplir efficacement son rôle. L’indépendance doit surtout être garantie par le biais de mesures organisationnelles : il faut éviter que la fonction de conseiller à la protection des données ait un impact négatif sur l’évaluation du collaborateur concerné.

La terminologie utilisée pour décrire les tâches du conseiller à la protection des données d’un organe fédéral prescrites à l'al. 2 est modifiée pour correspondre à la disposition relative aux conseillers des responsables privés (art. 25, al. 1, P-OLPD). Par analogie avec l’art. 25, al. 1, let. b, P-OLPD, l’al. 2, let. b, dispose que le conseiller à la protection des données concourt à l’établissement de l’analyse d’impact et la vérifie. Le renvoi à l’art. 23, al. 4, nLPD est omis car il concerne uniquement les responsables privés. L’al. 2, let. a est identique à l’art. 25,

al. 1, let a, P-OLPD. Comme déjà mentionné au sujet de la réglementation relative aux responsables du traitement privés, le conseiller à la protection des données a une fonction de conseil et de soutien mais n'est pas un organe de surveillance. En ce qui concerne la vérification des traitements et la recommandation de mesures correctives, il convient de noter qu'il ne s'agit pas d'instaurer une obligation de vérification ou des contrôles systématiques de tous les traitements de données. Il suffit que le conseiller agisse, par exemple, lorsque les organes responsables lui posent des questions relatives à l'évaluation du traitement des données, ou s'il reçoit des informations concernant une violation des prescriptions de protection des données. Bien entendu, le conseiller est libre de procéder à des contrôles proactifs. Décrit à l’al. 2, let. c, le devoir d’annoncer les violations de la sécurité des données découle de

l’art. 19, al. 4, P-OLPD. Il est répété ici par souci d’exhaustivité. Le conseiller à la protection des données sert, selon l’al. 2, let. d, de point de contact pour les personnes concernées, par exemple lorsqu’elles adressent une demande d’accès au sens de l’art. 25 nLPD.

Art. 29 Devoirs de l'organe fédéral

L'art. 29, al. 1 est lui aussi identique aux dispositions équivalentes pour les responsables privés, soit l’art. 25, al. 2, let. b, P-OLPD. Nous renvoyons aux commentaires à ce sujet. S'il existe des bases légales spéciales qui empêchent le conseiller à la protection des données