Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

pas seulement lorsqu’il est décidé quelle mesure est appropriée. Des participants⁶⁴ proposent d'ajouter que la probabilité n’a de sens qu’en présence d’un risque. Ce dernier découle d’une violation potentielle de la sécurité des données, et non inversement. Dans cet ordre d'idées, le texte devrait être le suivant : « les effets potentiels subséquents d’une violation de la sécurité des données pour les personnes concernées et leur probabilité ».

La probabilité est un calcul mathématique⁶⁵. Ainsi la classification proposée ne peut être suivie (faible, moyenne ou élevée). À tout le moins, la « probabilité » devrait être remplacée par les « conséquences », voire des critères mathématiques devraient être introduits.

Certains participants⁶⁶ demandent que le risque résiduel soit pris en compte.

Al. 1 let. c

L’état de la technique doit être « éprouvé ». Dans cet ordre d’idées, il sied d’ajouter l’« état de la science » comme critère, celui-ci étant depuis des années universellement reconnu⁶⁷.

HÄRTING appelle à quelques précisions autour de l’expression « l’état de la technique », notamment en lien avec les sanctions pénales de l’art. 61, let. c, nLPD et propose de remplacer celle-ci par « les règles générales de la technique ».

Al. 1 let. d

Plusieurs participants⁶⁸ critiquent la prise en compte des coûts et proposent soit de biffer la let. d, soit de remanier cette disposition. Le besoin de précision est maintes fois invoqué, par exemple pour les « coûts de mise en œuvre », que ce soit pour les PME, les fondations, les associations de petite à moyenne importance ou encore les start-up (concernant le plafond de coûts entre le chiffre d’affaires (projeté) et les coûts de mise en œuvre). Tout en déclarant que ce critère ne concerne que le choix de la variante la plus rentable – parmi celles efficaces –, il est souligné qu’il n’est ni un passe-droit ni une dérogation à l’obligation de garantir la sécurité des données. Au contraire, ce critère doit permettre de réaliser ces exigences, notamment pour les petites et moyennes structures⁶⁹. Des participants⁷⁰ considèrent également que les « coûts de mise en œuvre » impliquent, à tort, que les autres dépenses ne sont pas pertinentes. Le rapport explicatif ne devrait pas affirmer que les coûts excessifs ne sont pas utiles.

Un grand nombre de participants⁷¹ proposent de remplacer « coûts de mise en œuvre » par « effort de mise en œuvre », estimant la première expression trop étroite. BE déclare que d’autres critères de mise en œuvre peuvent être pertinents (dépenses élevées en termes de personnel ou en termes de temps et d’organisation). Le rapport explicatif gagnerait à plus de précision. D’autres participants⁷² partagent cet avis et regrettent que les explications concernant la prise en compte des coûts de mise en œuvre comme critère dans l’évaluation de