Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

la loi fédérale du 30 mars 1911 complétant le Code civil suisse¹⁹¹ reste applicable à la responsabilité civile.

Concernant la seconde phrase, Curafutura s’interroge sur la nécessité de remplacer « conformément au mandat » par « conformément au contrat ou à la loi ». Avec d’autres participants¹⁹², ils expliquent que le responsable ne peut pas garantir que le traitement soit conforme au contrat et à la loi. Il peut juste essayer de faire en sorte qu’il le soit comme pour l’art. 28, ch. 1, RGPD. En effet, dès que les données sont confiées à un sous-traitant, la garantie de la sécurité des données ne relève plus de la sphère d’influence du ou des responsables, voire leur influence est fortement limitée. Parmi les formules rédactionnelles, la suivante est proposée : « le responsable du traitement qui confie un traitement de données personnelles à un sous-traitant demeure responsable de la protection des données. Il veille à ce que les données soient traitées conformément au contrat ou à la loi ». À tout le moins, les responsables devraient être tenus de ne faire appel qu’à des sous-traitants ayant des mesures appropriées. Les explications apportées en lien avec l’art, 22, al. 3, de la directive (UE)

2016/680 n’apportent pas plus de clarté à l’art. 6. À l’image de l’art. 28, ch. 3, RGPD, il serait judicieux d’ajouter à l’art. 6 le contenu minimal obligatoire devant figurer dans les contrats de sous-traitance : soit l’objet, la durée, la nature et la finalité du traitement des données, le type de données personnelles, les catégories de personnes concernées ainsi que les obligations et les droits du responsable du traitement. Selon proFonds, il suffit que le responsable lie contractuellement les obligations légales au sous-traitant et l’incite ainsi à traiter les données conformément à la loi. Les petites ou moyennes structures et associations n’ont, en règle générale, ni la possibilité ni les ressources pour procéder à un contrôle complet. Dans cet ordre d'idées, il serait pertinent d’ajouter que le responsable doit aménager contractuellement les mandats de manière à ce qu’il soit conforme à la loi.

FSA se demande ce que l’on entend par un traitement conforme au contrat ou à la loi, dès lors que l’art. 9, al. 1, nLPD devrait couvrir cette question. Bär & Karrer propose de supprimer « au contrat ou ». Le PPS regrette une absence de définition claire de ce qu’il est entendu par « assurer un traitement au moins conforme au contrat ou à la loi ».

Pour TG, la formulation selon laquelle la protection des données doit être assurée par voie contractuelle lorsque la loi étrangère viole la protection des données en Suisse ne doit pas être maintenue. Il mentionne à titre d’exemple la loi chinoise sur le renseignement national, voire la législation américaine. Ces législations exigent des fournisseurs ayant un lien avec leur pays qu’ils divulguent aux autorités étrangères toute communication (électronique) ainsi que les enregistrements ou autres informations, y compris ceux situés en dehors de leurs frontières. Toute obligation contractuelle contraire à ces dispositions chinoises ou américaines a peu de chance d’être suivie.

Al. 2

D’après quelques participants¹⁹³, aux termes de l’art. 3 nLPD, il est peu probable qu’un soustraitant ne soit pas soumis à la LPD. La suppression de cet alinéa ferait ainsi sens.