Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Al. 1 let. g

Quelques participants²³³ considèrent que l’expression « habilités à traiter les données » est inadaptée, voire superflue. À leur sens, seuls les « destinataires » sont importants, c’est-àdire les parties qui concluent le contrat. SwissICT propose la suppression de la lettre.

Al. 1 let. h

Plusieurs participants²³⁴ sont d’avis que les mesures garantissant la sécurité des données personnelles figurent déjà dans la clause de protection des données ou dans les garanties spécifiques elles-mêmes, conformément à l’art. 9, al. 2. Partant, l’obligation renouvelée du responsable de prendre des mesures appropriées pour garantir le respect des clauses de protection des données est redondante. Il faudrait plutôt y parvenir en obligeant par écrit le destinataire à respecter ou à observer les clauses de protection des données. Ces participants ne voient pas l’utilité de cette lettre et la trouve disproportionnée. La disposition doit être supprimée.

L’ASDPO propose la formule suivante : « les mesures techniques et organisationnelles ».

Al. 1 let. j

Deux participants²³⁵ considèrent qu’il n’appartient pas au sous-traitant d’informer les personnes concernées. Ils demandent l’introduction parmi les clauses de protection d’une obligation pour les destinataires d’informer les personnes concernées. À l’inverse, BE est d’avis que cette lettre doit être supprimée. Conformément aux art. 19 à 23 nLPD, l’obligation d’informer n’incombe qu’aux autorités responsables. Une extension de l’obligation au destinataire des données semble peu judicieuse et n’est probablement pas faisable.

Certains participants²³⁶ estiment que l’obligation nouvelle doit figurer dans une base légale au sens formelle. Suisa est d’avis que cette lettre contredit l’art. 19, al. 4, et l’art. 25, al. 1, nLPD. Ces deux dernières dispositions légales définissent de manière exhaustive l’étendue de l’obligation d’informer et de renseigner. De plus, cette lettre est souvent inapplicable d’un point de vue purement pratique. Le destinataire des données à l’étranger ne connaît pas les personnes concernées et leurs adresses pour les informer. La suppression de cette lettre est demandée.

Santésuisse juge cette lettre peu précise et s’interroge sur les raisons qui obligeraient le destinataire à informer les personnes concernées. Cela devrait rester de la compétence du responsable du traitement, ne s’agissant pas d’une sous-traitance au sens de l’art. 9 nLPD. En outre, force est de constater qu’il n’est pas expliqué ce que signifie « informer du traitement ». SwissICT propose la suppression de cette lettre. Il renvoie à ce sujet à la remarque de l’art. 9, al. 1, relative à l’absence de distinction selon les rôles des parties.