Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

est demandée, à tout le moins pour le domaine privé¹²¹. Avec l’introduction de l’analyse d’impact relative à la protection des données (AIPD) et l’utilisation du registre des activités de traitement, la journalisation est vue comme un doublon non indispensable. La journalisation serait, en outre, contraire à la volonté du législateur¹²². H+ déclare qu’une norme générale obligeant la journalisation est disproportionnée.

Plusieurs participants¹²³ font remarquer que le but de la journalisation est de permettre,

lorsqu’un traitement non autorisé ne peut d’emblée être techniquement exclu, de constater a posteriori un traitement non autorisé. Ainsi l’évaluation des risques ainsi que la planification des mesures fondent le besoin de journalisation. Un risque hypothétique n’est ni suffisant ni proportionné. Cela doit être déterminé dans le cadre d’une investigation conforme à un art. 1 ayant été adapté. Il sied de souligner que la journalisation résulte de mesures techniques et/ou organisationnelles non suffisantes ou efficaces. Le rapport explicatif précise que la journalisation est un moyen pour atteindre les objectifs de l’art. 2. Il est demandé que soit précisé si la journalisation doit être mise en place en l’absence d’une analyse d’impact relative à la protection des données (AIPD). Certains participants¹²⁴ considèrent comme suffisante une journalisation lorsqu’il ne serait pas possible de déterminer a posteriori si les données ont été traitées dans le but pour lequel elles ont été collectées ou communiquées (art. 10, al. 1,

OLPD). Divers participants¹²⁵ insistent sur le fait que pour découvrir des fuites de données non autorisées, des logiciels malveillants, des intrusions, etc., la journalisation de l’utilisation régulière des données n’est pas d’un grand secours.

Pour certains participants¹²⁶, conformément à l’art. 8 nLPD, une mise en œuvre de la protection des données axée sur les besoins et adaptée à l’état le plus récent de la technique est attendue. Cela est néanmoins délicat à mettre en pratique ; notamment avec une disposition présentant un tel niveau de détails, qui entraîne des frais de mise en œuvre élevés, un manque de clarté et des risques de confusion. Ils sont, toutefois, d’avis que la journalisation est la bonne solution, dans la mesure où aucune autre mesure ne permet d’atteindre le même objectif à moindre coût. Elle devrait, à tout le moins, être expressément prévue comme mesure dans l’ordonnance, voire sa ou ses alternatives. ZH précise que la journalisation, en cas de risque élevé, est contradictoire avec le refus de fixer des mesures concrètes. D’après un faible nombre de participants¹²⁷, l’obligation doit être limitée aux cas représentant un risque (résiduel) élevé, voire quand la mesure est adaptée au sens de l’art. 1. Par conséquent, les textes français et italien doivent être adaptés en ce sens. Le respect de la disposition présente des difficultés pratiques, notamment en raison des sanctions pénales (art. 61, let. c, nLPD), qui seront certainement nombreuses. Quelques participants¹²⁸ soulèvent un risque de surveillance des personnes concernées qui ne se justifie que si le traitement présente un risque élevé.