Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

L’art. 5 contient un catalogue de définitions. Notons notamment que la nouvelle loi remplace la notion de maître du fichier par celle de responsable du traitement (art. 5, let. j nLPD). Le concept du profilage à risque élevé (art. 5, let. g) a été introduit ultérieurement, par les

chambres fédérales.

L’art. 6 fixe certains principes généraux à respecter. Tout traitement de données personnelles doit être licite (art. 6, al. 1) et respecter les principes de la bonne foi et de la proportionnalité (art. 6, al. 2). La collecte de données personnelles doit poursuivre des finalités déterminées et reconnaissables pour la personne concernée (art. 6, al. 3). Les données doivent être détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement (art. 6, al. 4). Celui qui traite des données personnelles doit également s’assurer de l’exactitude des données (art. 6, al. 5). Le responsable du traitement et le sous-traitant sont tenus de protéger les données dès la conception et par défaut (privacy by design and by default ; art. 7), et d’assurer la sécurité des données personnelles (art. 8). En vertu de l’art. 10, les responsables du traitement peuvent nommer un conseiller à la protection des données. Ils doivent également établir un registre des activités de traitement (art. 12).

L’art. 9 règle la sous-traitance de données personnelles. La nLPD codifie l’instrument des codes de conduite (art. 11).

Une section a été introduite au chapitre 2 par le Parlement. Elle est consacrée aux traitements de données personnelles par des responsables du traitement privés qui ont leur siège ou leur domicile à l’étranger. L’art. 14 instaure la notion du représentant et l’art. 15 définit ses obligations.

La section 3 du chapitre 2 porte sur la communication des données à l’étranger. Des données personnelles ne peuvent être communiquées à l’étranger que si le Conseil fédéral a constaté que l’Etat concerné ou l’organisme international concerné offre un niveau de protection adéquat (art. 16). L’art. 17 prévoit néanmoins différentes exceptions.

Le chapitre 3 règle les obligations du responsable du traitement et du sous-traitant. Il précise le devoir d’informer les personnes concernées lors de la collecte de données personnelles (art. 19 à 20). L’art. 21 introduit une nouvelle obligation d’information pour les décisions individuelles automatisées. L’art. 22 introduit l’obligation d’effectuer une analyse d’impact relative à la protection des données personnelles. Le responsable du traitement a en outre l’obligation de consulter préalablement le PFPDT lorsque l’analyse d’impact relative à la protection des données révèle que, malgré les mesures prévues par le responsable du traitement, le traitement présente encore un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 23). Enfin, le responsable du traitement doit annoncer au PFPDT les violations de la sécurité des données entraînant vraisemblablement un risque élévé pour la personnalité ou les droits fondamentaux de la personne concernée (art. 24).

Les droits de la personne concernée sont inscrits aux chapitre 4. Le droit d’accès et ses restrictions sont réglés aux art. 25 à 27. Quant au droit à la portabilité et ses restrictions, consacrés aux art. 28 et 29, ils ont été introduits par le Parlement.

Le chapitre 5 contient un certain nombre de dispositions applicables au traitement de données personnelles par des personnes privées. La nLPD interdit ainsi aux personnes privées qui traitent des données personnelles de porter une atteinte illicite à la personnalité des personnes concernées (art. 30, al. 1) et en particulier de traiter des données personnelles en violation des principes définis aux art. 6 et 8 nLPD ou contre la volonté expresse de la personne concernée en l’absence de motif justificatif (art. 30, al. 2, let. a et b et art. 31). Ce chapitre