Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

sont, au contraire, satisfaits et soutiennent le délai de conservation de deux ans. Des participants¹⁴⁸ considèrent que cette obligation conduit à l’élaboration de bases volumineuses de données avec de longues durées de conservation (par exemple : les données des utilisateurs/collaborateurs, etc.). Quelques participants¹⁴⁹ proposent la suppression de la conservation séparée.

Divers participants¹⁵⁰ rappellent que, pour les organes fédéraux, l’art. 57m ss LOGA et son ordonnance sur l’organisation du gouvernement et de l’administration¹⁵¹ définissent la procédure. Une évaluation personnelle n’est pas toujours nécessaire. Il sied d’ajouter à la dernière phrase de cet alinéa : « ils ne sont utilisés qu’à cette fin et à des fins personnelles que dans la mesure où cela est nécessaire ». La limitation de l’accès ainsi que celle de la finalité sont jugées trop strictes. D’autres raisons pourraient justifier la consultation des logs, notamment par le responsable ou le sous-traitant. Il sied de veiller à éliminer les doublons. La disposition devrait émettre une réserve pour les dérogations contenues dans la législation sectorielle. L’alinéa doit être supprimé, voire le cercle des personnes ayant accès doit être élargi.

Quelques participants¹⁵² sont d’avis que la formule « séparément du système dans lequel les données personnelles sont traitées » est à remplacer par « sécurisé ».

3.2.4 Art. 4 P-OLPD : Règlement de traitement des organes fédéraux

Plusieurs participants¹⁵³ saluent expressément cette disposition. Elle est vue comme une pièce maîtresse pour le futur du droit de la protection des données. D’autres participants¹⁵⁴ aimeraient même étendre sa portée, car les critères de l’alinéa 1 sont jugés arbitraires et ne couvrant pas tous les traitements critiques. La mesure est admise, mais appelle quelques précisions. On y voit une mesure favorisant la minimisation des données¹⁵⁵ et on estime justifié que lors de traitements présentant un risque élevé, comme le traitement de données sensibles ou le profilage, des exigences plus élevées soient prévues¹⁵⁶.

Pour de nombreux autres participants¹⁵⁷ la disposition serait en revanche contraire à la volonté du législateur et redondante. De l’avis d’un grand nombre de participants¹⁵⁸, concernant l’obligation de documentation, il a été décidé de se limiter au registre des activités de traitement, voire à l’analyse d’impact relative à la protection des données (AIPD). Les critiques soulignent ainsi l’absence de base légale. Partant, le règlement de traitement ne sert pas