Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

des données doit être informé en temps utile, comme cela est prévu pour les projets des organes fédéraux pour le traitement automatisé des données personnelles (art. 31). La disposition doit, à tout le moins, être renforcée.

Quelques participants²⁰⁵ sont d’avis que cette disposition empiète sur la liberté organisationnelle interne à l’entreprise. Une entreprise doit s’assurer que les contrats respectent les règles de protection des données. Ils demandent à ce que les entreprises de transport soient exclues du champ d’application de la disposition.

Deux participants²⁰⁶ font remarquer que les organes fédéraux, comme les assurances maladie, ont d’innombrables contrats qui impliquent des traitements des données. L’approche basée sur les risques commande au conseiller ou à la conseillère à la protection des données de connaître les traitements particulièrement risqués au travers du registre des activités de traitement. Une obligation d’information supplémentaire, avec un tel degré d’absolu, n’est pas indispensable. Ce d’autant qu’il ne crée aucune valeur ajoutée pour les personnes concernées.

Le DFS souligne qu’à titre préventif les conseillers à la protection des données ont une grande importance. Cet aspect doit être pris en compte lors de l’élaboration de cet article, afin d’éviter autant que possible les problèmes ultérieurs. L’idée serait de mettre en place une consultation préalable du conseiller à la protection des données, ce qui implique également de siéger dans les organes correspondants.

HDC considère que l’obligation d’informer le conseiller à la protection des données peut avoir son intérêt. Il peine, toutefois, à saisir son rattachement avec la nLPD ainsi que les conséquences de sa violation. Il se demande si une des conséquences serait de rendre le traitement illicite et permettrait à la personne concernée de faire valoir des prétentions sur cette base (art. 41 nLPD). Des participants²⁰⁷ rappellent que l’art. 29 nLPD prévoit déjà un devoir d’information qui est formulé de manière plus générale et qui englobe également les traitements sur mandat, pour autant que ceux-ci soient pertinents.

L’ASIP demande de préciser que « ne sont pas visés les organes fédéraux en tant que soustraitants au sens de l’art. 2, al. 1, let. b, en relation avec l’art. 5, let. i, nLPD ».

Le swissICT ne comprend pas que des exigences particulières soient fixées au niveau de l’ordonnance, dès lors que l’art. 24 LPD règle la notification des violations de la sécurité des données. Les processus internes doivent pouvoir être réglés par l’organe fédéral lui-même. En outre, l’art. 29, al. 1, nLPD prévoit déjà un devoir d’information de l’organe fédéral envers le conseiller à la protection des données. Il souhaiterait des clarifications autour du terme « problème ».

3.2.8 Art. 8 P-OLPD : Evaluation du niveau de protection adéquat des données personnelles d’un Etat étranger ou d’un organisme international

VS salue l’élaboration d’une liste des États, secteurs et territoires avec un niveau de protection adéquat (annexe).