Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

être nécessaires pour assurer une protection des données appropriée. Le Conseil fédéral détermine si des mesures complémentaires sont nécessaires. Les États et territoires concernés sont énumérés à l’annexe 1a. La décision du Conseil fédéral concernant la nécessité de mesures complémentaires est contraignante ».

3.2.9 Art. 9 P-OLPD : Clauses de protection des données d’un contrat et garanties spécifiques

Quelques participants²²⁴ soutiennent la volonté du Conseil fédéral d’introduire certaines exigences minimales et des garanties spécifiques ; ce d’autant que les clauses ou garanties (art. 16, al. 2, let. b, nLPD) sont uniquement portées à la connaissance du PFPDT.

Des critiques s’élèvent, toutefois, autour des exigences introduites par cette disposition. Le niveau de détail est jugé inutile²²⁵.

HÄRTING regrette que les exigences de cet article ne s’orientent pas plus sur les rôles d’exportateur (responsable du traitement) et d’importateur (destinataire).

Al. 1

La FSA est d’avis que l’énumération est une liste exemplative. Dans la négative, il conviendrait de préciser qu’une distinction doit être faite entre les contrats dans lesquels le destinataire est un responsable du traitement et ceux dans lesquels il agit en tant que sous-traitant.

Quelques participants²²⁶ sont d’avis que, bien que cohérentes avec l’objectif de protection des données, ces exigences entraînent des coûts de traitement élevés pour les entreprises impliquées. Elles doivent être réduites au minimum, voire les lettres b, c, g, h et i doivent être supprimées.

Des participants²²⁷ sont d’avis que l’énumération des exigences d’un « Data Transfer Agreement » est inadaptée et doit être supprimée. À ce sujet, il importe de préciser que le PFPDT doit de toute façon les vérifier. Cette énumération ne fait, toutefois, pas de distinction entre le type de transfert ou les rôles de l’exportateur et de l’importateur. Or ces derniers sont déterminants pour le contenu du contrat, comme le montrent par exemple les clauses contractuelles types de la Commission européenne (EU SCC). Il sied de relever que ces clauses sont désormais reconnues par le PFPDT. Partant, il ne fait pas sens d’imposer des obligations au sous-traitant par contrat, alors que celles-ci ne reposent pas sur la nLPD. Le RGPD fournit une protection adéquate. Celle-ci est tout aussi bonne pour les données communiquées par les responsables suisses. À tout le moins, il se justifie de modifier le catalogue d’exigences pour couvrir différentes constellations (responsable du traitement, sous-traitant), voire remplacer le « au moins » par « selon les circonstances ». Finalement et dans la mesure où les personnes concernées doivent être informées, il manque des règles sur la notification des violations de la sécurité des données. D’autres participants²²⁸ se posent également la question de la base légale. Ils précisent que les critères ne doivent pas être soumis