Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

gravité de la violation et les risques qu’elle engendre. L’ASDPO tient à ce que les informations figurant aux let. b et c soit également communiquées à la personne concernée, car elles peuvent les aider à déterminer l’étendue de l’incident et prendre les mesures qui s’imposent³⁶⁰. D’autres acteurs demandent de supprimer la mention de la let. g parce ce type d’information pourrait faciliter les cyberattaques et parce qu’il y a plusieurs personnes de contact dans les grandes entreprises³⁶¹.

Al. 4

HDC rappelle que l’art. 24, al. 6, nLPD prévoit que l’annonce peut uniquement être utilisée contre la personne tenue d’annoncer dans le cadre d’une procédure pénale si celle-ci y a consenti. Il faudrait clarifier que lorsqu’il s’agit d’une personne morale, la personne morale en tant que telle et toutes les personnes physiques qui en font partie sont tenues de faire une annonce. Le canton de Fribourg souhaite éviter que toute annonce se retrouve sur la place publique de manière prématurée. Le Tribunal fédéral a toutefois jugé qu’une annonce des violations de la sécurité des données était soumise au principe de la transparence (ATF 1C_500/2020 du 11 mars 2021). Puisque cette annonce deviendrait obligatoire, il serait opportun d’introduire une limitation temporelle concernant l’accès à ce type d’annonces.

Al. 5

Selon DigiGes, il est important que les violations soient documentées pour toutes les parties impliquées, comme prévu à l’art. 19, al. 5, P-OLPD. L’ASDPO juge qu’il serait utile d’exiger une documentation de toutes les violations, de manière à ce que le PFPDT ou d’autres autorités, en cas de contrôle, soient en mesure de vérifier si une violation aurait dû être annoncée alors qu’elle ne l’a pas été. Certains participants trouvent la disposition imprécise puisqu’elle ne permet pas de déterminer si toutes les violations doivent être documentées ou uniquement celles qui doivent être annoncées au PFPDT³⁶². D’autres partent du principe que seules les violations devant être annoncées devraient être documentées. Le sens de la norme n’apparaît donc pas très clairement. En effet, si le PFPDT s’intéresse à une violation qui doit être annoncée, il se renseignera de toute façon³⁶³.

De nombreuses voix s’élèvent pour demander une suppression de l’obligation de documenter figurant à l’al. 5, faute de base légale³⁶⁴. L’obligation d’annoncer les violations de la sécurité des données est réglementée de façon suffisamment claire au niveau de la loi, sous forme de principes et dans le respect de l’approche fondée sur les risques. Par conséquent, le Parlement a cherché à volontairement octroyer une marge de manœuvre adéquate aux responsables du traitement pour l’exécution au cas par cas³⁶⁵. L’art. 24 nLPD ne prévoit pas d’obligation de documenter et de conserver les informations liées à une violation de la sécurité des données³⁶⁶, et ce n’est pas non plus le cas du RGPD. Cet alinéa est donc un Swiss Finish³⁶⁷.