Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

détailler la disposition en précisant que les décisions individuelles automatisées ne peuvent pas déployer leurs effets avant qu’un certificat de contrôle attestant la potentielle nouvelle décision n’ait été établi.

De façon générale, les participants notent que cette réglementation pourrait encourager les plaintes abusives contre les responsables³²⁵. Cette question ne devrait pas être réglée dans le P-OLPD parce qu’elle porte sur un sujet de nature générale, qui joue un rôle équivalent dans tous les domaines du droit. Seule la pratique établie des tribunaux fédéraux permet de garantir une sécurité du droit suffisante³²⁶.

USS voit un réel risque dans le fait que, dans le domaine de l’emploi, de plus en plus de décisions sont automatisées, et il demande une meilleure protection contre les licenciements (augmentation des indemnités à 24 mois de salaire et inscription d’un droit au réengagement à l’art. 336a CO).

3.2.18 Art. 18 P-OLPD : Forme et conservation de l’analyse d’impact relative à la protection des données personnelles

PS approuve le délai de conservation proposé par le Conseil fédéral et demande qu’il ne soit pas raccourci. DFS souhaite quant à lui une extension du délai à cinq ans, au motif que l’analyse d’impact relative à la protection des données est un instrument particulièrement utile pour la réduction systématique des risques et qu’elle constitue l’une des nouveautés les plus importantes de la nLPD. Si un traitement des données abusif entraîne des dommages pour la personne concernée et que des questions de responsabilité se posent, l’analyse d’impact pourrait être un document qui servirait à vérifier les responsabilités. L’ASDPO est surpris que les durées de conservation ne soient pas harmonisées dans l’ensemble du P-OLPD et propose également un délai de 5 ans dans le cas présent. Le délai de conservation fixé paraît difficile à comprendre pour Bär & Karrer, qui suggère d’adopter des délais uniformes afin de simplifier la procédure au sein des entreprises.

D’autres participants se montrent plus critiques. Ils regrettent notamment que l’obligation de conserver l’analyse d’impact relative à la protection des données personnelles ne repose pas sur une base légale : le législateur a volontairement renoncé à inscrire ce type d’obligation de documentation générale dans la loi au profit d’une obligation de tenir un registre des activités de traitement³²⁷. Le canton de Schwyz relève qu’en leur qualité de document officiel, les analyses d’impact destinées aux organes fédéraux doivent être soumises aux règles générales de conservation des documents et ne devraient pas être réglées à part dans l’OLPD. Certains participants regrettent qu’il s’agisse là encore d’un Swiss Finish puisque le RGPD ne prévoit aucune obligation de cet ordre³²⁸.

Cette règle est par ailleurs contraire au principe « nemo tenetur »³²⁹ parce que l’analyse d’impact relative à la protection des données personnelles qui est conservée pourrait être utilisée