Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

contraire à la volonté du législateur⁹⁵. Pour SPA, une telle documentation n’est pas légitime ; du moins, elle se justifie uniquement de manière brève pour le processus et son résultat. La reprise des objectifs figurant dans l’OLPD actuelle est critiquée⁹⁶. Ces derniers sont vus comme obsolètes par certains⁹⁷. DFS considère qu’un apport pratique d’experts dans le domaine de l’information et de la protection des données est indispensable dans le cadre de la révision de ladite disposition.

Selon quelques participants⁹⁸, l’art. 2 ne remplit pas complètement le mandat institué par l’art. 8, al. 3, nLPD. Divers participants⁹⁹ font remarquer que la disposition ne devrait mentionner que les objectifs de protection sur lesquels le responsable peut exercer une influence. Ils indiquent que l’introduction du « privacy by design » fait peser sur le responsable la charge de la sécurité des données. Eu égard aux avancées technologiques et en l’absence de toute intervention étatique, l’énumération doit être revue. Elle fait peser les efforts en matière de sécurité des données sur l’exploitant et non sur le développeur de technologies de l’information, et ce au détriment des utilisateurs de technologies de l’information. Les cyberattaques actuelles rendent irréalistes des objectifs aussi larges et ambitieux, notamment à la lumière des sanctions pénales de la nLPD¹⁰⁰.

Quelques participants¹⁰¹ se demandent s’il ne faudrait pas préciser le lien avec l’art. 1, à tout le moins, que seuls doivent être mis en œuvre les éléments nécessaires pour garantir une sécurité appropriée des données.

BE est d’avis que la phrase introductive doit préciser « les mesures techniques et organisationnelles ». Une grande majorité de participants¹⁰² proposent de remplacer « atteindre » par « s’efforcer de », notamment eu égard à l’art. 61, let. c, nLPD. Le PVS relève que les objectifs ne doivent être atteints que « dans la mesure du possible », laissant aux responsables une marge d’appréciation pouvant aller à l’encontre de la sécurité des données. Datenschutzguide.ch estime que ce complément circonstanciel est central. La mise en œuvre de nombreux objectifs peut être délicate pour les PME. L’accent doit être mis sur des exigences minimales. Il ne peut s’agir d’un catalogue détaillé passible d’amendes. Quelques participants¹⁰³ considèrent que ladite locution est inutile au vu de l’art. 6, al. 5, nLPD, d’autant qu’elle tend à relativiser les objectifs à atteindre. Divers participants¹⁰⁴ proposent la suppression de celle-ci, étant sujette à interprétation. Deux participants¹⁰⁵ appellent à plus d’explication autour de l’expression « dans la mesure du possible », le rapport explicatif n’étant pas d’un grand secours.