Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

données au sens étroit (CAID : Confidentialité, Authenticité, Intégrité, Disponibilité). Dans cet ordre d'idées, ils jugent les exemples cités incorrects et la portée du terme « risque » erronée. Il s’agit du risque net et non du risque brut. Ainsi le traitement par l’intelligence artificielle (IA) ou l’être humain n’est pas pertinent pour la question de la sécurité des données.

De manière générale, un grand nombre de participants⁶⁰ relèvent l’influence du droit européen, et notamment de l’art. 32 RGPD. Ils proposent de s’en inspirer ainsi que de la LSI. Ils sont d’avis que l’approche doit se faire en deux étapes : évaluer premièrement les objectifs de protection, les besoins de protection et les risques. Quoique les objectifs de protection soient énoncés à l’art. 5, al. 1, let. h, nLPD et détaillés à l’art. 2, la distinction opérée par cet alinéa entre critères à même de permettre l’évaluation du besoin de protection (let. a), l’évaluation du risque (let. b) et l’adéquation des mesures est jugée bienvenue. Toutefois, comme pour l’analyse d’impact sur la protection des données, l’évaluation du risque intervient dans un second temps (art. 22 nLPD). Concernant les critères relatifs à l’adéquation des mesures, ils regrettent leur caractère indirect. L’opportunité d’une mesure doit permettre d’évaluer si une mesure doit être prise et, concrètement, laquelle permet de contrer le risque avec l’efficacité nécessaire. Deux cantons⁶¹ considèrent également « l’état de la technique » comme un critère indirect. SZ se demande si les critères d’adéquation sont cumulatifs. Ce qu’il trouverait regrettable. ZH s’oppose également à cet aspect cumulatif. Il souligne que les objectifs de protection (art. 5, let. h, nLPD), le besoin de protection (art. 1, al. 1, let. a) et les risques (art. 22 nLPD) devraient ressortir plus clairement de la disposition.

BL propose d’harmoniser la méthodologie à l’image de la Confédération avec HERMES.

L’art. 1 devrait ainsi refléter l’évaluation des risques et les mesures à prendre en fonction de l’état actuel des connaissances techniques.

Le PS estime que le risque de violation de la sécurité des données est un critère d’évaluation plus pertinent pour les mesures à prendre.

Al. 1 let. a

VD propose d’insérer à la let. a « des critères de profilage, de transferts internationaux et de sous-traitance (Cloud) ».

Eu égard au contenu, SPA conteste le lien entre les critères cités et le risque que présente un traitement de données. Il propose de mentionner expressément les critères au moyen desquels un risque peut être établi conformément à l’art. 8, al. 1, nLPD. Un autre participant⁶² demande la suppression du terme « circonstances », le jugeant compris dans celui de « nature » du traitement de données. Il propose de prendre en considération le projet de la Commission européenne relatif au Règlement sur l’intelligence artificielle.

Al. 1 let. b

Divers participants⁶³ sont d’avis que les coûts de mise en œuvre doivent être pris en compte selon l’art. 1, al. 1, let. b ; c’est-à-dire lors de l’appréciation de l’opportunité d’une mesure, et