Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

décembre 2004 sur la transparence (LTrans)³⁴ (let. e) ainsi que répondre aux questions des citoyens (let. f).

Art. 41 Autocontrôle

L’art. 48 nLPD prévoit que le PFPDT doit prendre des mesures appropriées pour s’assurer que les règles de protection des données sont bien respectées et appliquées au sein de son institution. Le message du P-LPD précise que le Conseil fédéral a pour tâche de concrétiser, dans l’ordonnance, les mesures que le PFPDT doit prendre (FF 2017 6565, 6705).

Il est attendu du PFPDT, à l’al. 1, qu’il établisse un règlement de traitement pour tous les traitements automatisés et pas uniquement dans le cas des traitements particuliers, listés à l’art. 5, al. 1, P-OLPD, tels que le traitement de données sensibles ou le profilage.

Au sens de l’al. 2, le PFPDT prévoit des processus internes pour garantir que le traitement de données soit effectué conformément au règlement de traitement. Il vérifie annuellement que celui-ci soit respecté.

Art. 42 Collaboration avec le Centre national pour la cybersécurité (NCSC)

Afin que le PFPDT puisse recourir aux spécialistes du NCSC lorsqu'il doit analyser une violation de la sécurité des données qui lui a été annoncée par un responsable du traitement, conformément à l'art. 24 nLPD et à l'art. 19 P-OLPD, l’al. 1 prévoit qu'il peut transmettre les informations relatives à ce type d'annonce au NCSC. Le PFPDT peut transmettre toutes les informations énumérées à l'art. 19, al. 1 P-OLPD, mais en se limitant aux données nécessaires pour que le NCSC puisse analyser l'incident. Il faut au préalable qu'il ait reçu l'accord du responsable du traitement, qui est quant à lui, obligé d'annoncer ces incidents au PFPDT. En outre, la transmission de ces informations ne doit pas permettre de contourner l'art. 24, al. 6, nLPD d'après lequel l'annonce ne peut être utilisée dans le cadre d'une procédure pénale qu'avec le consentement de la personne tenue d'annoncer. À la prochaine occasion qui se présente, il faudra transférer cet al. 1 dans la loi, par exemple dans le cadre d'une nouvelle loi sur les infrastructures critiques.

L'al. 2 établit que le PFPDT et le NCSC doivent se coordonner lorsque leurs domaines d'activité se recoupent. Cette norme équivaut à celle de l'art. 20, al. 3, 2^e phrase, OLPD. L'alinéa 2 oblige le PFPDT à inviter le NCSC à se prononcer avant d'ordonner une mesure au sens de l'art. 51, al. 3, let. b, nLPD concernant la sécurité des données. Il s'agit d'éviter que le PFPDT et le NCSC n'imposent aux organes fédéraux des exigences différentes dans le même domaine. L'indépendance du PFPDT restera garantie : bien qu'il doive demander l'avis du NCSC, il ne devra pas nécessairement en tenir compte.

Art. 43 Registre des activités de traitement des organes fédéraux

En raison de l’art. 12, al. 4, nLPD, les organes fédéraux et leurs sous-traitants doivent déclarer leurs registres d’activités de traitement au PFPDT. Il est ensuite exigé de celui-ci, au sens de l’art. 56 nLPD, qu’il tienne un registre des activités de traitement des organes fédéraux et qu’il le publie.