Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Deux participants¹⁹⁴ considèrent que la liste des pays figurant dans l’annexe 1 de la nLPD s’applique.

Divers participants¹⁹⁵ déclarent que le sens et le but de cette lettre ne sont pas évidents. Le contenu est déjà couvert par les art. 16 et 17 nLPD. Dans ce sens, le rapport explicatif mentionne que l’art. 6, al. 2, correspond à l’art. 22, al. 3, OLPD actuelle. La seule nuance repose sur le fait que la disposition s’applique uniquement aux organes fédéraux, alors que l’art. 6, al. 2, concerne aussi bien les traitements effectués par des personnes privées que par des organes fédéraux. L’explication relative à cette délimitation fait défaut. La disposition semble trouver son sens dans des cas particuliers tels que les cas où un responsable suisse demanderait à un sous-traitant étranger de traiter des données sans qu’il y ait communication depuis la Suisse et que l’art. 16 nLPD ne s’appliquerait pas. D’un point de vue systématique, ce cas devrait toutefois être réglé à l’art. 16 nLPD et non dans l’ordonnance. Juridiquement, le fondement correct est l’art. 9, al. 1, let. a, nLPD. Dans le cas d’un traitement sur mandat, il s’agit de garantir que les données ne sont traitées que de la manière dont le responsable est autorisé à le faire ; ce que prévoit l’art. 9, al. 1, let. a, nLPD. Il est probable que la règle existante ait simplement été reprise. Partant, il est difficile de comprendre la nécessité de cet alinéa et sur quelle base juridique il se fonde.

Certains participants¹⁹⁶ demandent la suppression de cet alinéa en invoquant que la communication à l’étranger est déjà prévue par une autre disposition (art. 8). En outre, il ne peut être exigé du responsable de traitement de connaître toutes les législations pertinentes. Si cette réglementation devait être maintenue, ils suggèrent de préciser « qu’à défaut, une protection des données appropriée doit être mise en place ». Dans cet ordre d'idées, il serait judicieux de mentionner que si le sous-traitant n’est pas soumis à la LPD, le responsable doit s’assurer que d’autres dispositions légales garantissent une protection des données équivalente. Dans le cas contraire, il doit la garantir par voie contractuelle conformément à l’art. 16, al. 2, nLPD. Il serait toutefois préférable de supprimer cet alinéa.

Selon le PPS, à l’image de la nLPD, l’art. 6, al. 2, est dépassé non seulement à la lumière de la jurisprudence récente (notamment l’arrêt Schrems II de la CJUE), mais également du droit européen (accès au marché unique numérique de l’UE). Des clauses contractuelles types n’étant à elles seules pas suffisantes, il propose de supprimer cet alinéa, voire la seconde phrase, et la remplacer par un renvoi aux directives du PFPDT.

Al. 3

Alors que quelques participants¹⁹⁷ s’interrogent sur l’actualité de la « forme écrite », deux autres participants¹⁹⁸ saluent l’utilisation de cette forme pour l’autorisation de la délégation de deuxième rang. Ils relèvent toutefois que cette exigence ne figure pas dans la nLPD. Il se pose dès lors la question de savoir si cela peut réellement être imposé aux organes fédéraux qui ne sont pas soumis à la Directive 2016/680, l’art. 22, al. 2, Directive 2016/680 mentionnant le consentement par écrit dans le secteur public. Selon la suva, l’autorisation écrite des organes fédéraux correspond au standard du RGPD. Toutefois, l’art. 9, al. 3, nLPD ne