Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

d'accéder à certaines informations, en particulier les données personnelles, celles-ci priment, conformément au principe lex specialis derogat generali. Si nécessaire, les données personnelles doivent être caviardées si le conseiller à la protection des données a besoin d'accéder à des informations concernant des données personnelles pour exercer ses tâches.

L’al. 2 est nouveau ; il prévoit une règle similaire à celle fixée à l’art. 10, al. 3, let. d, nLPD pour les responsables privés. Il facilitera l’exercice des droits des personnes concernées dans la mesure où elles pourront immédiatement trouver un interlocuteur spécialisé à contacter. Il n'est pas nécessaire de rendre public le nom du conseiller : il suffira par exemple d'indiquer l'adresse électronique de l'organe compétent. Les coordonnées du conseiller à la protection des données devront aussi être communiquées au PFPDT.

Art. 30 Interlocuteur du PFPDT

L'art. 30 P-OLPD reprend sur le fond, mais de façon plus précise, l'art. 23, al. 3, OLPD. La formulation est adaptée parce qu'elle pouvait être mal interprétée et comprise comme une interdiction de contact direct. Les organes fédéraux devraient également être libres de communiquer avec le PFPDT par le biais d'autres entités et pas uniquement au travers du conseiller à la protection des données. Il ne fait pas office d'agent de liaison pour le PFPDT, mais plutôt d'interlocuteur, car il dispose de l'expertise et des connaissances internes nécessaires pour répondre aux questions relatives au traitement des données personnelles effectué par l'organe fédéral auquel il appartient.

4.5.2 Projets des organes fédéraux pour le traitement automatisé des données personnelles

Art. 31 Information du conseiller à la protection des données

La disposition de l'art. 31, P-OLPD reprend en partie celle de l'art. 20, al. 2, OLPD. L’art. 20, al. 2, OLPD instaure actuellement l’obligation pour les organes fédéraux d’annoncer, dès le début, tous les projets de traitement automatisé de données personnelles au conseiller à la protection des données ou au PFPDT, afin que les exigences de la protection des données soient immédiatement prises en considération. L’annonce au PFPDT a été biffée à l’art. 31 P-OLPD car tous les organes fédéraux devront disposer d’un conseiller à la protection des données (art. 27, P-OLPD) et qu’une annonce à ce conseiller est suffisante aux yeux du Conseil fédéral.

Sur un plan temporel, la loi prévoit que la protection des données doit être assurée par des mesures techniques dès la conception d’un projet (art. 7, nLPD). L’idée est reprise ici et impique que le conseiller à la protection des données soit associé aussi tôt que possible à la planification du projet afin qu’il puisse poser les exigences en matière de protection des données à temps. Ce principe vaut tant pour les projets qui prévoient de nouveaux traitements automatisés de données personnelles que pour les adaptations effectuées au terme d’un projet. Par exemple, il faut recourir au conseiller à la protection des données dans le cadre de l’adaptation d’un système d’information existant dès lors que cela implique des modifications du traitement des données personnelles. Le remplacement de « Dès le début » par « en temps utile » ne constitue pas une adaptation matérielle. Comme actuellement, l’information doit être faite aussi rapidement que possible.

Art. 32 Annonce au PFPDT

L’art. 32, al. 1, P-OLPD dispose que l’organe fédéral compétent doit informer le PFPDT des activités de traitement automatisé prévues dès l'approbation du projet ou dès la décision 40/85