Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Un petit nombre de participants à la procédure de consultation demandent un ajout qui devrait permettre que dans les cas graves, le conseiller puisse informer les « die höchsten Organe [der jeweiligen Privaten oder Bundesorgane] »( les plus hautes instances [privées ou fédérales])⁴⁸⁶.

Al. 2

Economiesuisse relève que la let. b prévoit à juste titre un droit d’intervention. Il serait toutefois souhaitable de compléter le droit d’intervention de la let. b par un droit à demander l’avis d’une autorité supérieure dans une nouvelle let. c (« Eskalationsrecht »). Cela est nécessaire pour que le conseiller à la protection des données ne doive pas uniquement s’appuyer sur les documents qui sont à sa disposition pour procéder aux contrôles internes à l’entreprise quant au respect des règles de protection des données, mais qu’il puisse aussi se procurer des informations et des documents supplémentaires⁴⁸⁷.

Cela crée une réglementation qui permet aux conseillers à la protection des données, en cas de situation complexe ou d’infractions particulièrement graves aux règles de protection des données, de pouvoir être entendu à un plus haut niveau hiérarchique et de pouvoir obtenir une décision. Il aurait aussi la possibilité de recourir à une organisation responsable de la conformité ou de remonter la voie hiérarchique, en accord avec celle-ci. Sans ce type de norme, les conseillers à la protection des données s’exposeraient au risque d’être euxmêmes tenus pour responsables⁴⁸⁸. Selon l’ASDPO il faudrait dans tous les cas que l’on précise à l’art. 25 P-OLPD quelle est la responsabilité (civile, pénale) du conseiller.

Santésuisse fait remarquer que pour les conseillers à la protection des données des personnes privées, il manque une norme analogue à l’art. 28 P-OLPD, qui consacrerait l’indépendance du conseiller et le fait qu’il ne doit pas recevoir d’instructions.

3.2.26 Art. 26 P-OLPD : Exception à l’obligation de tenir un registre des activités de traitement

Sur le principe, les participants approuvent l’exception⁴⁸⁹. La limite de 250 collaborateurs est basée sur le droit des sociétés anonymes⁴⁹⁰. Le CP estime que la grande majorité des PME devrait pouvoir bénéficier de cette exception, qui est par ailleurs conforme à l’approche fondée sur le risque adoptée dans la nLPD. Des participants issus de l’économie privée souhaitent même un assouplissement supplémentaire, ou une précision, afin de réduire les charges pesant sur les petites entreprises. Spitex écrit que l’exception prévue ne s’appliquerait pas à de nombreuses entreprises parce qu’elles traitent des données sensibles à grande échelle ou qu’elles font partie d’un groupe qui emploie, dans son ensemble, plus de 250 collaborateurs⁴⁹¹. Plusieurs veulent que le critère utilisé soit celui d’une moyenne de 250 équivalents plein-temps par année et non pas celui du nombre de collaborateurs⁴⁹².