Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

en tant que preuve contre le responsable dans le contexte de la de pièces ou dans le cadre de l’administration des preuves³³⁰.

Un raccourcissement du délai est demandé a minima. Les participants estiment qu’il est trop long³³¹, en particulier parce que le traitement des données tel qu’il est défini à l’art. 5, let. d, nLPD comprend l’archivage³³². Certains sont d’avis que rien ne justifie un délai de conservation aussi long au vu des principes de la proportionnalité du traitement des données et de la minimisation des données³³³. Le canton de Zurich fait, d’une part, remarquer que les résultats de l’analyse d’impact seraient directement intégrés dans le traitement des données évalué et, d’autre part, que le tableau dressé dans l’analyse d’impact deviendrait très rapidement obsolète. Quelques participants ajoutent que l’on pourrait limiter la conservation jusqu’au moment où le traitement des données prend fin, puisqu’après cela, les droits de la personne concernée ne peuvent plus être violés³³⁴. Asut suggère qu’il faudrait laisser le responsable déterminer un délai de conservation adapté au cas particulier et ce en tenant compte du fait qu’il risque de devoir s’acquitter de la charge de la preuve. Une autre proposition consiste à adapter la durée de conservation au besoin de protection des données³³⁵. Enfin, si ce délai est conservé, certains veulent ajouter que l’analyse d’impact devra être conservée pendant deux ans « au moins », afin d’éviter qu’une conservation plus longue ne soit contraire aux prescriptions de protection des données³³⁶.

En outre, un certain nombre de participants souhaitent que l’ordonnance³³⁷ explicite le fait que la forme écrite peut aussi comprendre des documents sous forme électronique qui servent de preuve par le texte. Il ne suffit pas de le mentionner dans le rapport explicatif³³⁸.

Quelques-uns déplorent le fait qu’il faille interpréter la forme écrite au sens du CO (arrêt du TAF A-3548/2018 du 19 mars 2019, consid. 4.8.4) et qu’une signature soit nécessaire. Il devrait être possible de produire et de conserver l’analyse d’impact sous forme électronique, à condition qu’elle soit conservée en sécurité et disponible en tout temps³³⁹. Exiger la forme écrite n’est pas nécessaire et n’est plus d’actualité³⁴⁰. D’autres estiment qu’on ne peut déterminer si un simple courriel suffit à remplir le critère de la forme écrite ou s’il faut une signature électronique. Il vaudrait la peine de le préciser. Les exigences quant à la forme écrite ne devraient toutefois pas être trop élevées³⁴¹. Si le critère de la forme écrite est conservé, il faudrait préciser qu’elle doit être interprétée de manière plus large que selon la règle formelle des art. 12 ss CO³⁴².

Une critique va plus en détail et dénonce le fait que la réglementation part du principe que l’analyse d’impact relative à la protection des données personnelles ne serait jamais mise à