Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

l’obligation d’informer est contraire à la logique du système. C’est pourquoi il est tout au plus possible de remplacer le « et » par un « ou »²⁶².

D’après l’AFBS, si le sous-traitant avait la responsabilité, il y aurait un risque que l’information soit communiquée plusieurs fois à la personne concernée, ce qui pourrait entraîner des contradictions. Le sous-traitant ne dispose souvent pas de l’information nécessaire ou ne sait pas clairement quelles informations peuvent et doivent être données à qui²⁶³. En outre, une violation de cette obligation serait passible d’une sanction au sens de l’art. 60 nLPD, ce qui implique que l’on introduirait aussi par ce biais une responsabilité pénale du sous-traitant et des personnes qui agissent pour lui²⁶⁴.

Les autorités cantonales de protection des données du canton de Neuchâtel et du Jura signalent que cette norme n’est pas simple d’application parce qu’elle impliquerait la mise en place d’une règle de coordination. Qui devrait être poursuivi pour la violation de l’art. 60 nLPD ? Le canton de Vaud estime que la coordination entre responsable du traitement et sous-traitant devrait être clairement réglée. Le canton de Schwyz critique quant à lui le manque de clarté de la disposition qui implique que les responsables et les sous-traitants devraient s’informer mutuellement²⁶⁵. SWICO ajoute que l’al. 1 et les explications ne sont dans l’ensemble pas précises, ce qui serait source d’insécurité juridique. Dans l’intérêt de la sécurité juridique, Curafutura trouve que l’on devrait clarifier la manière dont devoir d’informer pourrait être rempli²⁶⁶.

Pour certains, instaurer la responsabilité des sous-traitants serait un Swiss Finish²⁶⁷. En effet, d’après ASB, cela compliquerait l’échange transfrontières de données par rapport à l’UE, ce qui entrerait en contradiction avec l’une des raisons principales ayant motivé la révision de la législation suisse sur la protection des données.

Outre la question des obligations du sous-traitant, d’autres aspects ont également fait l’objet de critiques. La VUD remarque que l’art. 19 nLPD prévoit un devoir d’informer les personnes concernées. Le fait de rendre les données accessibles suffit. Il ne faut pas que le choix du verbe « mitteilen » (communiquer) soit assimilé à un durcissement de la disposition, c’est pourquoi un verbe tel que « zur Verfügung stellen » (mettre à disposition) serait plus adapté. Il exprime mieux le fait que les personnes concernées ont une certaine obligation de collaborer²⁶⁸ et correspond à l’objectif du RGPD²⁶⁹.

PVS et DigiGes souhaitent que l’adjectif « transparente » soit ajouté à l’énumération concernant la forme du renseignement, parce qu’il figure dans le RGPD²⁷⁰. Walderwyss estime quant à lui que la précision « de manière concise, compréhensible et facilement accessible » est superflue au vu de l’exigence de transparence.