Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Let. i

La suva soulève l’utilité d’élaborer un concept de sauvegarde. Selon Swimag, en sus d’incident physique ou technique, tout autre danger pour les données doit être envisagé. La restauration doit être intégrale, immédiate et sans aucun préjudice.

Let. j

Selon l’Association de commerce, cette lettre doit être supprimée, étant irréaliste. Aucune entreprise ne peut garantir la disponibilité en tout temps de service Cloud, le signalement automatique d’erreurs par des logiciels, etc.

Tout dysfonctionnement doit automatiquement être signalé par le système¹¹⁴.

Let. k

La détection doit pouvoir être « immédiate » et les mesures être prises « avec succès et intégralement »¹¹⁵.

3.2.3 Art. 3 P-OLPD : Journalisation

La disposition est saluée par plusieurs participants¹¹⁶. Elle est même vue comme très importante, voire comme l’avenir du noyau de la protection des données en Suisse¹¹⁷. DigiGes relève que cette disposition s’appuie sur une base légale suffisante. La journalisation ne vise que des traitements de données présentant un risque élevé : une entreprise qui effectue de tels traitements est tenue d’assurer une protection élevée. H+ estime qu’une obligation ponctuelle de journalisation peut être pertinente (p. ex. pour évaluer des logs). GL salue l’introduction « d’exigences plus strictes » à l’alinéa 2. Non seulement cela renforce la confiance dans les traitements réalisés par les organes publics, de plus cette obligation permet un contrôle efficace. L’obligation de journalisation doit, en outre, avoir un certain effet préventif.

Cet article fait aussi l’objet d’un très grand nombre de critiques. La principale s’attache au défaut de base légale et au besoin de précision. Selon plusieurs participants¹¹⁸, l’art. 8 nLPD traite de la sécurité des données au sens strict et ne serait pas suffisant pour fonder l’obligation de journalisation. Par ailleurs, le terme « journalisation » ne figure que dans le texte de l’ordonnance et non dans la nLPD, au contraire de la loi fédérale du 25 septembre 2015 sur le renseignement¹¹⁹ ou encore de la loi fédérale du 28 juin 1967 sur le contrôle des fi-

nances¹²⁰. Partant, la journalisation est perçue comme un Swiss Finish, également absent du RGPD. La journalisation crée un surplus de travail considérable. La suppression de l’article