Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

HÄRTING relève qu’il convient de se référer à lettre i, s’il s’agit d’un « transfert à terme ». La question peut être laissée ouverte de savoir si l’obligation d’information doit être imposée à l’exportateur ou à l’importateur.

Al. 1 let. k

Suisa estime que l’obligation nouvelle doit figurer dans une base légale au sens formel. Il est d’avis que le chiffre 1 contredit l’art. 19, al. 4, et l’art. 25, al. 1, nLPD. Ces deux dernières dispositions légales définissent de manière exhaustive l’étendue de l’obligation d’informer et de renseigner. De surcroît, cette disposition conduirait à une application extraterritoriale du droit suisse, ce qui est contraire au droit international et donc impossible à mettre en œuvre. Il demande la suppression de cette lettre.

SwissICT demande la suppression de cette lettre. En cas de communication dans le cadre d’un traitement de commande, cela n’est pas légitime. Il est renvoyé à la remarque générale de l’art. 9, al.1. Il propose, en outre, d’ajouter un renvoi entre parenthèses vers la disposition de la LPD où ce droit de la personne concernée est réglé.

Selon HÄRTING, la nLPD ne connaît comme droit d’opposition que le droit de la personne concernée de s’opposer à la communication de données personnelles par l’organe fédéral responsable (art. 37 nLPD). L’art. 9, al. 1, let. k, ne fait probablement pas référence à ce droit. Le rapport explicatif désigne ici « le droit de s’opposer au traitement de données personnelles ». Il n’apparaît pas clairement à quel droit des personnes concernées de la nLPD il est fait référence ; probablement le droit de la personne concernée de révoquer à tout moment le consentement qu’elle a donné, raison pour laquelle la let. k doit être adaptée dans ce sens.

L’ASDPO propose d’ajouter le droit à la remise des données (art. 28 et 29 nLPD).

Swimag propose l’ajout d’un chiffre 5 avec la formule rédactionnelle suivante : « de ne pas consentir au traitement des données ».

Al. 2

CFC souhaite des exemples de « mesures appropriées ». Cela permettrait une meilleure appréhension de la situation par le responsable du traitement, voire la personne concernée.

Pour certains participants²³⁷, le verbe « s’assurer » est quelque peu excessif. Quelques-uns expliquent que ce verbe implique une garantie du respect des clauses ou une responsabilité causale, pour laquelle il n’existe aucune base légale. Ainsi dite obligation ne peut raisonnablement être exigée. Ils proposent de favoriser la formule suivante : « veiller à » ou « veiller de manière raisonnable ». De plus, des participants²³⁸ relèvent que cet alinéa est trop vague. Il se pose la question de savoir ce que pourraient être ces mesures ; d’autant que le RGPD ne connaît pas une telle réglementation. Cet alinéa doit être supprimé.

Divers participants²³⁹ soulignent que les clauses de protection devraient contenir l’obligation pour le destinataire d’informer les personnes concernées. Il n’appartient pas au sous-traitant d’informer les personnes concernées. Cette tâche incombe au responsable du traitement.