Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Par ailleurs, l’obligation est bien trop étendue puisque « tous les faits relatifs aux incidents » devront être documentés³⁶⁸. Cette précision induit en erreur en suggérant qu’il faudrait rechercher des faits qui ne figurent pas dans la liste de l’al. 1, let. a à g, tout spécialement du fait de l’obligation de documenter³⁶⁹. AFBS note que si cet alinéa était conservé, il faudrait préciser que le responsable doit uniquement fournir des informations dont il a connaissance. On ne peut pas attendre qu’il effectue des recherches auprès d’externes.

Plusieurs participants à la procédure de consultation réclament un raccourcissement de la durée de conservation de la documentation³⁷⁰. Certains ajoutent qu’elle devrait être conservée conformément aux règles en vigueur qui s’appliquent aux autorités de surveillance³⁷¹. D’autres souhaitent que les délais de conservation soient harmonisés dans l’ensemble de l’ordonnance, y compris celui figurant à cet alinéa³⁷². D’autres encore estiment qu’il faut rallonger ce délai à cinq ans du fait que l’annonce pourrait être pertinente en cas d’action en responsabilité³⁷³. DigiGes souligne l’importance de ce délai pour la personne concernée car il lui permet de se défendre en recourant aux voies de droit. Economiesuisse demande de préciser qu’il faut uniquement conserver une trace des violations devant être annoncées.

D’aucuns regrettent la mauvaise interprétation de l’adverbe « vraisemblablement » (art. 24, al. 1, nLPD) dans le rapport explicatif, où il est écrit que la violation doit être annoncée

« même en cas de doute, pour les cas dans lesquels on ne peut exclure l’existence d’un risque élevé ». Cela présuppose qu’une violation de la sécurité des données entraînerait selon toute probabilité un risque élevé³⁷⁴. Il s’agit d’un pléonasme étant donné que la notion de « risque » en elle-même comporte un élément de probabilité puisqu’elle sert à exprimer à quel point il est possible que la violation provoque des dommages. La probabilité doit donc être d’un certain niveau³⁷⁵. Ainsi « vraisemblablement » ne signifie en aucun cas que l’annonce doit se faire « même en cas de doute », lorsqu’on ne peut pas exclure l’existence d’un risque élevé. Bien au contraire, la violation ne doit être annoncée que lorsque le risque qu’il y ait effectivement eu une violation des droits de la personne concernée est bien plus élevé que l’éventualité qu’il n’y ait pas de violation des droits³⁷⁶. C’est-à-dire, concrètement, dans les cas où il est très probable que la violation de la sécurité des données entraîne un risque élevé³⁷⁷. Le Conseil fédéral dépasse d’après eux ici les limites posées par le législateur³⁷⁸. La FMH aimerait que la clarification apportée ci-dessus à l’adverbe « vraisemblablement » soit intégrée à l’ordonnance.