Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

3.2.15 Art. 15 P-OLPD : Informations lors de la communication des données personnelles

FRC approuve explicitement cet article, même s’il fait l’objet de critiques de la part d’autres participants. D’après ces derniers, il est dépourvu de base légale ou il devrait figurer au niveau de la loi²⁹⁶. Plus précisément, le Parlement a réglé la question de la communication de données personnelles de façon suffisamment claire dans plusieurs articles de la loi, sous forme de principes et dans le respect de l’approche fondée sur les risques. Il a tenu à dégager une marge de manœuvre suffisante pour que chaque responsable puisse l’appliquer à sa façon²⁹⁷.

La Poste fait remarquer que l’art. 15 P-OLPD contredit l’art. 19, al. 1, nLPD. Pharmasuisse note que la nLPD instaure uniquement une obligation d’informer le destinataire à la demande de la personne concernée. D’autres participants avancent que les principes de l’art. 6 nLPD devraient s’appliquer : il prévoit que celui qui traite des données personnelles doit s’assurer de leur exactitude²⁹⁸.

Pour certains, l’article est superflu parce que le responsable doit s’assurer du respect des principes de protection des données. L’information serait de toute façon inutile lorsqu’il s’agit de traitements de données prévus par la loi²⁹⁹. Le destinataire doit s’assurer que les données sont exactes et respecter les principes de traitement des données. Une information appropriée de la part de la personne qui transmet l’information irait à l’encontre de cette obligation, ou aurait pour conséquence qu’une mesure de vérification de l’exactitude devienne le seul critère valable, ce qui est contraire au texte de la loi³⁰⁰.

Le RGPD ne prévoit en outre pas un tel devoir d’informer pour les responsables privés : il s’agit d’un Swiss Finish³⁰¹. Dans le domaine privé, il n’y a pas lieu de s’appuyer sur la directive UE 2016/680, qui mentionne explicitement en son art. 7, al. 2, les « autorités compétentes »³⁰². Il faudrait au moins limiter la réglementation proposée aux organes fédéraux³⁰³. À ce sujet, les CFF font remarquer que la directive UE 2016/680 doit uniquement s’appliquer dans le domaine pénal et qu’elle ne saurait être utilisée comme base légale dans d’autres domaines.

La disposition est considérée comme trop éloignée de la pratique³⁰⁴, de par son caractère démesuré et trop formaliste³⁰⁵. Les exigences supplémentaires auxquelles serait soumis tout type de communication en lien avec des données personnelles sont trop élevées³⁰⁶ et doivent même s’appliquer en l’absence de risque perceptible³⁰⁷. Cette disposition va à l’encontre