Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

de ce fait, proposée. Dans le cadre de l’AIPD, de nombreux documents sont réalisés (art. 22, al. 3, nLPD). Ces derniers peuvent faire partie du règlement de traitement. Plusieurs participants¹⁶⁶ font remarquer que selon l’alinéa 2 les informations essentielles sont de toute façon déjà documentées dans le cadre de l’AIPD, et le reste dans l’inventaire qui doit de toute façon être établi. Certains¹⁶⁷ se posent dès lors la question de la valeur ajoutée d’un tel règlement.

D’après divers participants¹⁶⁸, quand bien même, il existe une très faible probabilité de voir dans la pratique des règlements en raison d’un « profilage à haut risque », il se pose la question de savoir à quel moment des données sont traitées « à grande échelle ». En ressources humaines, la notion serait justifiée en cas de volume moyen ou important de données ; alors qu’en termes de bases de données bibliographiques, il semblerait que non. Sont, de la même façon, concernées les entreprises de médias qui publient des articles sur la politique et la société, s’agissant de données personnelles sensibles (opinions politiques, etc.). Il sied de reconnaître un besoin de clarification pour la pratique (cabinet médical, etc.). Swimag propose de supprimer « à grande échelle ». À son sens, c’est précisément dans le cas de traitements mineurs et isolés de données personnelles sensibles qu’une sensibilisation est nécessaire ; d’où le besoin d’établir un règlement de traitement y relatif. Il suggère également de s’en tenir au simple profilage, à la place de « profilage à risque élevé ». Selon Bär & Karrer, en pratique, les entreprises ont pris l’habitude d’établir des directives internes. Elles ne sont toutefois pas aussi détaillées que le propose l’art. 4. Ce nonobstant, il est plutôt éloigné de la pratique d’élaborer un tel règlement pour des processus de traitement automatisé des données qui sont soumis à des changements constants et qui sont régulièrement adaptés ou étendus. Quelques participants¹⁶⁹ rappellent également que les traitements de données particulièrement sensibles peuvent nécessiter une réglementation interne. Cet aspect est toutefois déjà suffisamment réglé par l’art. 7, al. 1, nLPD’. Des participants¹⁷⁰ soulèvent la grande latitude d’interprétation autour de l’expression « risque élevé ». Ils recommandent d’introduire un complément d’information dans le rapport explicatif.

Selon swissICT, le règlement de traitement étant une mesure organisationnelle et technique pour garantir la sécurité des données (conforme au principe de privacy by design et by default), des erreurs figurent dans les critères d’exclusion. Les risques élevés pour la personnalité sont mélangés avec des aspects de la sécurité des données (confidentialité, intégrité, disponibilité). La structure de cet alinéa est à repenser.

Al. 2

L’alinéa bénéficierait d’un renvoi vers les normes en matière de technologie de l’information. À tout le moins, une référence aux prescriptions spécifiques en matière de protection des données (let. h, j) serait judicieuse¹⁷¹. ZH ajoute qu’en présence d’une certification (par exemple : ISO 270001), il se justifie de renoncer à l’élaboration d’un règlement de traitement séparé.