Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

die betroffenen Personen, von welchen ein hohes Risiko ausgeht » (les conséquences pour les personnes concernées qui entraînent un risque élevé). Cette formulation couvre également les risques éventuels³⁵¹. De plus, l’art. 33, al. 3, let. c, RGPD parle de « conséquences probables ». Il faudrait aussi reprendre cette expression dans le P-OLPD : concrètement, le responsable est seulement dans la mesure d’émettre des hypothèses quant aux conséquences³⁵². D’autres souhaitent en revanche que la let. e soit aussi complétée par « dans la mesure du possible » parce qu’il n’est pas toujours envisageable de déterminer immédiatement et définitivement les conséquences et les éventuels risques que présente une violation de la sécurité des données au moment où on la constate³⁵³. De plus, il faudrait parler à la let. f de « risques » et non pas de « conséquences »³⁵⁴. swissICT relève que même si l’on remédie au manquement, il faudrait malgré tout et dans le même temps atténuer les conséquences ou les dommages causés³⁵⁵. Economiesuisse souligne qu’en ajoutant « le cas échéant » à cet alinéa, on pourrait indiquer qu’il suffit d’annoncer les mesures effectivement mises en place.

Swissprivacy.law tient à ce que l’on précise qu’il faut uniquement fournir toutes les informations si l’annonce des violations de la sécurité des données est obligatoire. Lorsque le responsable informe le PFPDT de manière volontaire, il ne doit pas forcément donner toutes les informations dont l’al. 1 dresse la liste. D’aucuns demandent une réglementation « de minimis », qui exclut les cas dans lesquels le PFPDT n’a pas de marge de manœuvre : elle permettrait d’économiser des ressources³⁵⁶.

Al. 2

La précision « lors de la détection de la violation de la sécurité des données » n’a que peu d’intérêt. En effet, à ce moment-là, on sait d’expérience que le responsable ne dispose pas encore de toutes les informations nécessaires car elles ne peuvent être réunies qu’avec le temps³⁵⁷. À l’inverse, l’ASDPO souhaite qu’il soit clairement indiqué que le responsable du traitement doit annoncer les violations dans les meilleurs délais, pas seulement au moment de la détection de la violation.

Al. 3

Un certain nombre de participants à la procédure de consultation font remarquer que la loi prévoit que la personne concernée soit seulement informée lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l’exige. En revanche, l’ordonnance prévoit dans tous les cas la communication des informations visées à l’al. 1, let. a, e, f et g. Cet alinéa ne repose par conséquent pas sur une base légale³⁵⁸. C’est pourquoi FER propose de clairement indiquer que cet alinéa vaut uniquement si la personne concernée doit être informée conformément à la loi³⁵⁹. PC souhaite quant à lui que le moment et la durée de la violation soient aussi communiqués à la personne concernée afin que cette dernière puisse estimer au mieux la