Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Al. 5

De nombreux participants affirment qu’il n’existe pas de base légale à l’obligation, figurant à l’al. 5, de documenter pourquoi la communication des informations est refusée, restreinte ou différée, et de conserver cette documentation⁴⁰⁹. Un petit nombre d’entre eux ajoutent qu’elle est contraire à la volonté du législateur⁴¹⁰. En revanche, selon DigiGes, l’art. 8, al. 3, nLPD habilite le Conseil fédéral à édicter des dispositions définissant les exigences minimales en matière de sécurité des données personnelles ; l’al. 5 repose par conséquent sur une base légale. Quelques participants relèvent par ailleurs qu’il s’agit d’un Swiss Finish parce que le RGPD ne prévoit aucune obligation de conservation de ce type⁴¹¹.

L’obligation de conserver la documentation de l’al. 5 a suscité beaucoup de critiques. L’art. 26, al. 4, nLPD prévoit déjà que le responsable du traitement doit indiquer le motif pour lequel il refuse, restreint ou diffère la communication des informations. Cette disposition est suffisante pour que la personne concernée puisse faire valoir son droit à l’information en justice si nécessaire⁴¹². Une documentation sous la forme d’une copie de la réponse fournie à la personne concernée pourrait suffire à cet effet⁴¹³. C’est en ce sens que le canton de Bâle-Ville note qu’il faudrait ajouter le critère de la forme écrite pour les renseignements, et supprimer le délai de conservation. Le canton de Glaris estime que les organes fédéraux doivent de toute façon inscrire les motifs de la restriction dans la décision. L’obligation de documentation et de conservation découle des obligations issues du droit procédural.

Selon certains, l’art. 20, al. 5, P-OLPD, basé sur l’art. 26, al. 4, nLPD génère du travail supplémentaire sans avoir de conséquences sur la possibilité pour la personne concernée de faire valoir son droit à l’information en justice si nécessaire⁴¹⁴. De plus, à cause de cette réglementation, le responsable devrait traiter et conserver davantage de données personnelles qu’il n’en a besoin à des fins commerciales⁴¹⁵. De ce fait, l’al. 5 est inutile dans la mesure où, en raison de la règle du fardeau de la preuve, le responsable du traitement a de toute façon un intérêt à pouvoir fournir une preuve du renseignement fourni⁴¹⁶.

Quelques participants à la procédure de consultation estiment qu’il est difficile de comprendre le besoin de conserver plus longtemps que les procès-verbaux de journalisation au sens de l’art. 3 P-OLPD la documentation relative au refus, à la restriction ou au report de la communication des informations. De concert avec d’autres participants, ils considèrent que le délai devrait être raccourci⁴¹⁷. DigiGes souligne toutefois l’importance de cette norme pour que les personnes concernées puissent faire valoir leurs droits. Cette réglementation émane du prin-