Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Trois cantons suggèrent par exemple d’ajouter « en particulier »⁴⁶⁶. D’autres participants souhaitent que l’on conserve uniquement l’art. 10, al. 2, nLPD parce qu’il est suffisamment détaillé⁴⁶⁷. Le DFS recommande de préciser les tâches du conseiller à la protection des données, dont la description actuelle est trop rudimentaire. En plus du concours à l’établissement de l’analyse d’impact relative à la protection des données, cet alinéa devrait évoquer les tâches du conseiller ayant trait au renforcement de la protection des données. Il devrait par exemple agir davantage de manière préventive⁴⁶⁸. L’ASDPO demande quant à elle l’ajout d’un inventaire des tâches ou une description de la fonction du conseiller.

Une remarque conceptuelle de nature linguistique a été faite concernant l’allemand : il n’est dans ce contexte pas exact d’utiliser le verbe « wahrnehmen » ; il faudrait à la place utiliser « haben » (conceptuellement, il n’est pas correct de dire que le conseiller doit « accomplir » certaines tâches, mais il faudrait écrire que ses tâches « sont » les suivantes)⁴⁶⁹.

D’après SWICO, les tâches sont décrites comme étant des obligations légales personnelles du conseiller à la protection des données, ce qui soulève des questions en matière de responsabilité auxquelles l’article ne répond pas. Des adaptations ou des clarifications doivent être apportées. De plus, d’autres participants estiment que la formulation de la disposition devrait être impérative parce que les responsables privés sont libres de recourir à un conseiller à la protection des données ou non. Si cette disposition vise à exprimer que les responsables privés sont également obligés d’avoir un conseiller à la protection des données, il manque la base légale nécessaire⁴⁷⁰.

La SPA relève que la distinction entre le conseiller à la protection des données et le responsable du traitement n’est pas claire lorsqu’une entreprise a désigné un délégué à la protection des données au sens de l’art. 37 RGPD.

Let. a

Plusieurs participants soulignent que l’art. 10, al. 2, nLPD n’exige pas de mettre sur pied un contrôle général de tous les traitements de données personnelles, même si la let. a de

l’art. 25 P-OLPD le prévoit⁴⁷¹. L’obligation de contrôler tous les traitements de données est par ailleurs contraire à l’approche basée sur le risque prévue à l’art. 8 nLPD. Le fait que le rapport explicatif sous-entende qu’il faut contrôler tous les traitements est incorrect : le contrôle devrait s’effectuer selon une approche basée sur le risque⁴⁷².

Difficile donc de savoir dans quelle mesure les traitements doivent être contrôlés (tous, certains, seulement ceux soumis au conseiller, ceux qui ont été sélectionnés en fonction du risque, etc.)⁴⁷³. Economiesuisse estime que seul un devoir de consultation existe et qu’en dehors de celui-ci, les conseillers n’ont qu’une fonction générale de conseil. L’obligation de con-