Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

prévoit pas de forme écrite. ASDPO est d’avis que l’accord écrit devrait également être appliqué au responsable privé. Curafutura ajoute que le numérique prenant de plus en plus de place, il serait opportun de proposer une alternative à la forme écrite. Il sied de s’inspirer de la nouvelle mouture de la loi fédérale sur le contrat d’assurance¹⁹⁹, entrée en force en janvier 2022. Celle-ci introduit la forme écrite ou « tout autre moyen permettant d’en établir la preuve par un texte ». Partant, des participants²⁰⁰ proposent de reprendre cette dernière formule à l’image de l’art. 28, ch. 2, RGPD, qui par la locution « par écrit » couvre la forme électronique et tout autre forme permettant d’établir la preuve par texte. Au niveau rédactionnel, la proposition suivante est donnée : « par écrit ou sous forme électronique ou par toute autre forme permettant d’établir la preuve par texte ». BE estime que la forme écrite doit être remplacée par « toute autre forme de texte inaltérable ». En outre, le rapport explicatif doit préciser que la forme écrite désigne notamment les documents sur papier ou sous forme électronique. LU suggère qu’il pourrait être expressément mentionné la forme électronique : en utilisant des expressions telles que « consentement exprès », « établir sous forme de texte » ou « enregistrer ». La suppression des exigences de forme est de toute façon appropriée. Santésuisse relève que l’exigence de la forme écrite ne doit pas être un obstacle.

Curafutura est d’avis qu’une réserve permettant de s’opposer devrait remplacer l’approbation. BE propose qu’il soit précisé « qu’avec l’approbation préalable de l’organe fédéral ».

Quelques participants²⁰¹ font remarquer qu’une autorisation générale conformément au RGPD est suffisante. Une autorisation écrite spécifique à chaque cas n’est, ainsi, pas nécessaire. Ils citent l’exemple des services en ligne standard, qui ne prévoient pas cette possibilité dans leurs conditions générales. Il ne serait donc plus possible d’obtenir de tels services.

VD relève une coquille : « Lorsque le responsable de traitement… » doit être corrigé par « Lorsque le responsable du traitement … ».

3.2.7 Art. 7 P-OLPD : Information du conseiller à la protection des données de l’organe fédéral

La disposition est jugée superflue. Sa suppression est demandée²⁰². Quelques participants²⁰³ rappellent que, conformément à l’art. 28 et à l’art. 10, al. 2, let. b, nLPD, le conseiller à la protection des données de l’organe fédéral collabore de toute façon à l’application des prescriptions en matière de protection des données. SO ajoute que la disposition ne tient pas suffisamment compte de cette exigence. Pour quelques participants²⁰⁴, il semble contraire à l’approche fondée sur les risques de la nLPD que le conseiller à la protection des données ne soit informé qu’a posteriori de la conclusion d’un contrat d’externalisation ou lors d’un transfert de fonction. Les tâches du conseiller ou de la conseillère à la protection impliquent de telles transactions. Le rapport explicatif mentionne expressément les risques accrus liés au traitement des mandats. De surcroît, la participation à l’application des prescriptions relatives à la protection des données est l’une de ses tâches essentielles. Le conseiller à la protection