Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Swimag juge pertinent d’ajouter « au moins » devant « les objectifs de protection suivants ». GR propose plutôt d’ajouter « notamment » afin de ne pas comprendre la liste de manière exhaustive. DFS est d’avis qu’une liste exhaustive n’a pas de sens, dès lors qu’il s’agit ici de mesures techniques et organisationnelles, et non d’objectifs. Le PPS souhaite l’introduction d’une distinction entre les entreprises pour lesquelles le traitement des données n’est que de nature administrative et les entreprises dont le modèle d’affaires est basé sur la collecte,

l’analyse, la mise à disposition et/ou l’utilisation des données. Pour pallier tout abus, ces dernières entreprises devraient voir cette marge d’appréciation davantage limitée.

Selon les banques domestiques, la réalité du marché économique suisse appelle à plus de précision.

Les objectifs de protection doivent être appréhendés selon leur contexte et par rapport au niveau de sensibilité des données¹⁰⁶. La formulation doit permettre de comprendre qu’une approche tendant vers ces objectifs est suffisante. Il s’agit d’objectifs généraux, dès lors que le risque zéro n’existe pas¹⁰⁷. Dans cet ordre d'idées, le rapport explicatif contient une liste d’objectifs de protection sur lesquels les mesures doivent se concentrer. Force est de constater que chaque objectif de protection n’est pas pertinent dans tous les cas et doit être adapté¹⁰⁸. Une nouvelle structure faciliterait peut-être cette compréhension. HÄRTING propose d’introduire un alinéa « généralité »¹⁰⁹ et un alinéa « moyen de mise en œuvre des objectifs », qui serait une clause générale indiquant les mesures organisationnelles et techniques dont disposeraient les responsables du traitement ou les sous-traitants pour atteindre les objectifs de protection et où les moyens appropriés seraient recensés.

Ringier recommande d’intégrer dans l’ordonnance le catalogue des objectifs (intégrité, confidentialité et disponibilité), dès lors que la violation des exigences en matière de protection des données peut entraîner des conséquences notables (sanctions pénales selon l’art. 61, let. c, nLPD).

HÄRTING suggère d’ajouter, notamment dans une nouvelle lettre j, une obligation de rendre des comptes au sein de l’entreprise en cas de non-respect de ces objectifs ; et dans une nouvelle lettre m prévoir un contrôle continu de l’amélioration de la sécurité des données tenant compte de l’évolution constante de la technique.

Titre

Bär & Karrer propose de modifier le titre de l’art. 2 par la formule suivante : « exigences minimales ».

Let. a

Selon Swimag, l’expérience montre que le nombre de personnes autorisées a tendance à augmenter sans raison apparente, notamment pour des traitements n’entrant pas dans le cadre de leurs tâches. Partant, il est d’avis que la let. a devrait préciser que le nombre des personnes autorisées est réduit au minimum. Il sied également d’ajouter que l’accès est limité aux données dont elles ont « absolument et impérativement » besoin.