Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

trôler fixée à l’al. 1, let. a devrait par conséquent se limiter aux traitements qui sont « soumis » au conseiller⁴⁷⁴. HÄRTING affirme en revanche que le législateur a explicitement prévu, contrairement à ce qui figure dans le RGPD, que les conseillers doivent aussi être garants de la protection des données et qu’ils peuvent et doivent intervenir eux-mêmes, et ne pas seulement assumer une fonction de vérification de la conformité et de contrôle. Selon la VUD, on ne sait pas ce que cela impliquerait si le conseiller ne remplit pas le devoir de contrôle

étendu⁴⁷⁵.

Pour le canton de Bâle-Ville, un devoir de contrôle si étendu est disproportionné. Il rate sa cible en transformant les conseillers en « policiers ». Il faudrait plutôt mettre l’accent sur leur fonction de conseil, surtout lorsque les organes responsables souhaitent faire appel aux conseillers⁴⁷⁶. Du simple fait du nombre de traitements opérés, des participants affirment qu’il serait impossible de tous les contrôler en pratique. Le conseiller ne pourrait pas non plus avoir connaissance de tous les traitements qui méritent d’être contrôlés⁴⁷⁷. Un autre aspect critiqué est que le contrôle supplémentaire du traitement de données personnelles et de l’analyse d’impact conduirait, dans les faits, à transférer la responsabilité aux conseillers à la protection des données. Le texte devrait exclure cette possibilité⁴⁷⁸.

Par souci du détail, Santésuisse relève que l’ajout de l’expression « ainsi que ses exi-

gences » n’était pas nécessaire, puisque l’examen des exigences fait déjà partie du contrôle.

Let. b

L’al. 1, let. b est également contraire, pour certains, à la fonction de conseil⁴⁷⁹ et à la liberté d’organisation des responsables qui fixent les obligations en tenant compte de la situation concrète de l’entreprise⁴⁸⁰. Une atteinte d’une telle ampleur à l’autonomie privée aurait dû être prévue par la loi⁴⁸¹. D’autre part, il a été relevé que cette lettre est superflue et répétitive en raison de la règle particulière figurant dans la norme supérieure (art. 24, al. 4, nLPD)⁴⁸².

La let. b est en outre contraire à de nombreuses réglementations sectorielles⁴⁸³. Elle contrevient au modèle international établi des trois lignes de maîtrise (three lines of defense model)⁴⁸⁴.

IGEM note que la seule présentation de l’analyse d’impact au conseiller ne suffit pas et qu’il doit participer à son établissement. Pour ce faire, il doit vérifier l’évaluation des risques et les mesures proposées⁴⁸⁵.