Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

jour, ce qui ne correspond pas à la pratique. Il n’est d’ailleurs pas précisé comment procéder s’il existe plusieurs versions : il faudrait ajouter qu’il faut se référer à la version la plus récente³⁴³. Curafutura demande que les organes fédéraux ne doivent pas établir une analyse d’impact relative à la protection des données personnelles si les données sont traitées dans le cadre prévu par la loi. La FMH estime que cette disposition devrait préciser le libellé de l’art. 22, al. 2, let. a, nLPD pour définir sans équivoque en quoi consiste un traitement de données « à grande échelle ».

3.2.19 Art. 19 P-OLPD : Annonce des violations de la sécurité des données

Al. 1

L’art. 24, al. 1, nLPD ne prévoit une annonce des violations de la sécurité des données que lorsqu’il existe un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Il s’écarte donc volontairement de l’art. 33 RGPD. Cependant, l’art. 19 P-OLPD reprend la majorité des dispositions de l’art. 33 RGPD. Celles-ci servent principalement aux responsables également soumis au RGPD, mais pour les autres, elles constituent des dispositions supplémentaires inutiles qui engendrent un surcroît de travail³⁴⁴. L’indication du moment et de la durée de la violation des données vont tout particulièrement plus loin que le RGPD : il s’agit d’un Swiss Finish³⁴⁵. DigiGes souligne en revanche que ces indications ne dépassent pas le cadre de la loi. En effet, les indications ne doivent être fournies que dans la mesure où le moment et la durée peuvent être déterminés et si elles sont d’une importance capitale pour apprécier la gravité de la violation. La suva considère que la let. a va plus loin que le RGPD, mais que cela ne devrait pas poser de problème en pratique³⁴⁶.

D’autres obligations vont au-delà de l’art. 24, al. 4, nLPD. Les critères inscrits aux let. b à d ne découlent pas de la loi selon certains, il n’y a donc pas de base légale³⁴⁷. L’atténuation d’un grand nombre de ces dispositions supplémentaires (via l’ajout de « dans la mesure du possible ») est peu judicieuse. L’objectif de cet article est que l’autorité de surveillance soit informée rapidement, tout comme les personnes concernées, et que des mesures de protection des données personnelles soient prises immédiatement. L’art. 24 nLPD n’a pas besoin de la concrétisation contenue dans cet article de l’ordonnance³⁴⁸. Certains sont d’un avis divergent et trouvent cet ajout utile du fait qu’il n’est souvent pas possible de réunir ces informations³⁴⁹. DigiGes affirme que les informations mentionnées aux lettres a à g sont nécessaires pour que le PFPDT puisse dresser un tableau complet du cas de violation de la sécurité des données. Cet aspect est aussi souligné dans le rapport explicatif. L’ASDPO estime que les informations figurant aux let. b à d doivent être fournies dans tous les cas et qu’il faut par conséquent supprimer « dans la mesure du possible ».

Asut note que la formulation des let. e et f n’est pas claire et qu’elles ne traduisent pas le fait qu’il faille seulement annoncer au PFPDT les cas qui entraînent « vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée »³⁵⁰. D’après certains, la let. e devrait être refomulée de la sorte en allemand : « die Folgen für