Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

à garantir la sécurité des données au sens strict (qui relève de l’art. 8 nLPD), mais assure le respect des principes et prescriptions en matière de protection des données. Ils relèvent que le RGPD n’en fait aucune mention, quand bien même l’obligation de documentation en découle. Ils critiquent ce Swiss Finish. La suppression de cette disposition est demandée. Divers participants¹⁵⁹ sont d’avis que cette obligation contredit l’approche basée sur le risque. Certains participants¹⁶⁰ rappellent que l’art. 11a LPD n’a volontairement pas été repris,

comme l’explique le rapport explicatif.

Pour plusieurs participants¹⁶¹, le cadre légal est le suivant : l’art. 36 LPD offre la possibilité d’établir un « règlement de traitement », alors que l’art. 12 nLPD introduit la notion de « registre des activités de traitement ». Ils sont d’avis que le système semble avoir remplacé le règlement par le registre. Il est souligné que les art. 1 et 2 ne mentionnent pas le règlement de traitement parmi les mesures. La valeur ajoutée de cet instrument en termes de transparence est discutable ; d’autant plus avec l’introduction du registre des activités des traitements. Au même titre que la journalisation des droits d’accès, voire des accès, les mesures techniques ou organisationnelles sont des obligations. Des précisions demeurent nécessaires pour éviter des doublons inutiles ainsi qu’un surcroît de travail non indispensable. Des participants¹⁶² déclarent que le règlement de traitement est inutile et, au contraire, créerait même un risque pour le responsable si les personnes concernées tentent de l’obtenir par le biais du droit d’accès. En effet, certaines informations figurant dans le règlement relèvent du devoir d’informer.

Deux participants¹⁶³ sont d’avis que, à tout le moins, le champ d’application et la nécessité doivent être précisés, notamment pour les entreprises unipersonnelles.

Divers participants¹⁶⁴ jugent utile de rappeler que l’obligation d’établir un règlement de traitement n’est pas nouvelle et figure dans le texte actuel de l’ordonnance. Ils déclarent qu’au vu du choix opéré pour une limitation de l’obligation de documentation et d’information (AIPD, registre des activités de traitement ou déclaration de confidentialité), la suppression dans la nouvelle mouture semblait attendue.

Al. 1

Limiter l’établissement d’un règlement de traitement aux données sensibles à grande échelle ou aux profilages à haut risque est pour plusieurs participants¹⁶⁵ arbitraire, voire trop restreint. À l’image de l’art. 22, al. 1, nLPD, l’approche basée sur le risque ne justifie pas un tel raisonnement. Les lettres a et b doivent être comprises comme des exemples non exhaustifs qui présentent toujours un risque élevé. Cette restriction (let. a et b) ne permet pas de couvrir les traitements de données critiques pour les droits de la personnalité. La reprise des conditions de l’analyse d’impact relative à la protection des données (AIPD) (art. 22, al. 1, nLPD) est,