Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Al. 3

Quelques participants²⁴⁰ considèrent que selon l’art. 16, al. 2, let. b et c, nLPD les clauses de protection des données et les garanties spécifiques doivent être communiquées préalablement au PFPDT. Ils demandent que la phrase introductive de l’art. 9, al. 3 soit révisée, voire tout l’alinéa adapté. En effet, l’alinéa suggère qu’il pourrait y avoir une situation dans laquelle la non-communication conduirait à une communication à l’étranger conforme au droit. SH insiste sur le fait que cet alinéa ne doit pas affaiblir l’art. 16, al. 2, let. b et c nLPD. Selon VD, il convient de souligner que dans le contexte du RGPD et des traitements et transferts entre personnes morales d’une même entité ou appartenant au même groupe ces dernières doivent être considérées comme tierces parties. Dès lors, un contrat de sous-traitance et des clauses de protection sont exigés. UPSV estime que la non-approbation des garanties spécifiques de protection des données par le PFPDT (mais simple transmission avant la communication des données à l’étranger) crée un risque non négligeable que l’évaluation des risques par les responsables du traitement et les sous-traitants soit différente, tant dans le secteur privé que dans le secteur public. Il est demandé que cette simple information soit remplacée par une obligation d’approbation du PFPDT.

3.2.10 Art. 10 P-OLPD : Clauses types de protection des données

Des participants²⁴¹ saluent cette disposition, et notamment le fait que le PFPDT publie une liste des clauses types de protection des données. En outre, CFC souhaite des exemples de critères permettant d’apprécier si les mesures sont appropriées.

De manière générale, la suppression de la disposition est demandée, voire son adaptation²⁴². Au vu de l’introduction des clauses types de protection des données, la disposition est jugée excessive²⁴³, et même superflue²⁴⁴. Elle est jugée trop vague, n’étant pas précisé ce que pourraient être ces mesures²⁴⁵. Des précisions sont nécessaires. Le rapport explicatif doit mentionner que les destinataires ne sont pas obligés de respecter la législation suisse en matière de protection des données (art. 6, al. 2, nLPD)²⁴⁶.

Le TAF s’interroge sur la « forme juridique » des clauses types de protection des données publiées par le PFPDT. Il est d’avis qu’il ne peut s’agir d’une décision susceptible de recours au sens de l’art. 5, al. 1, PA ; en particulier lorsque le PFPDT les établit, d’office, en l’absence de toute requête expresse d’un administré. Il relève que la publication de clauses types ne crée, ne modifie ou n’annule pas des droits et obligations pour un particulier et ne vise pas à s’appliquer à un cas d’espèce. À son sens, elles prennent la forme d’une recommandation générale et abstraite. La vérification de la conformité de la communication avec les règles sur la protection des données devrait s’effectuer ex post, dans le cadre d’une enquête menée par