Rapport sur les résultats

Rapport sur les résultats de la consultation : Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données (OLPD)

Beaucoup sont cependant critiques quant au fait que les critères définissant le traitement de données sensibles à grande échelle ou le profilage à risque élevé ne couvrent de loin pas tous les traitements présentant un risque pour les droits de la personnalité. Ici aussi, comme dans le cas de l’art. 4, al. 1, P-OLPD, il convient de reprendre les exigences relatives à l’analyse d’impact sur la protection des données⁴⁹³. La FRC ajoute qu’il est bienvenu de vouloir limiter l’exception, mais que ce principe risque d’être vidé de toute portée si les notions de « données sensibles à grande échelle » et de « profilage à risque élevé » ne sont pas mieux définies. La question se pose même de savoir si le fait de traiter de données sensibles ne devrait pas, en soi, constituer une exception sans qu’il soit nécessaire d’être face à un traitement à grande échelle. L’ASDPO souhaite que l’on s’inspire davantage de l’art. 30, al. 5,

RGPD. Ces participants regrettent beaucoup le fait qu’il existe une exception pour les entreprises de moins de 250 employés⁴⁹⁴. L’instrument du registre des activités de traitement perd trop facilement de son utilité⁴⁹⁵. La tenue d’un registre constitue un moyen simple pour permettre au responsable du traitement de s’assurer qu’il respecte ses obligations en matière de protection des données⁴⁹⁶. Il s’agit par ailleurs d’un exercice indispensable à la bonne gouvernance de la protection et de la sécurité des données⁴⁹⁷. La tenue d’un registre avec les outils modernes ne représente par ailleurs pas une charge de travail significativement lourde,

même pour les entreprises individuelles. Le registre sert toutefois à la sensibilisation et à l’amélioration de leur protection⁴⁹⁸. Pour les PME en particulier, il s’agit d’un point crucial car elles traitent un volume de données personnelles toujours plus important et comptent par conséquent parmi les cibles privilégiées des hackers⁴⁹⁹.

L’ASB estime que la tournure utilisée impliquerait qu’il faille tenir un registre pour toutes les activités de traitement à partir du moment où les conditions de l’exception ne sont pas remplies. Certains aimeraient que l’on précise si c’est effectivement ce qui est prévu ou non⁵⁰⁰. D’autres partent du principe que la disposition ne pourrait pas être interprétée de la sorte et souhaitent que l’on limite l’obligation de tenir un registre aux traitements qui remplissent les conditions⁵⁰¹. On tiendrait ainsi suffisamment compte à la fois de la protection des personnes concernées et des besoins des PME⁵⁰². EXPERTsuisse souhaite une clarification des conséquences d’une mauvaise tenue du registre.

Selon plusieurs participants l’art. 12, al. 5, nLPD ne permet une exception à l’obligation de tenir un registre des activités de traitement que lorsque l’on est en présence d’un « risque limité ». Il faut donc en conclure qu’en soi, le risque est limité dès lors que les conditions de la let. a et celles de la let. b ne sont pas remplies⁵⁰³. Cela restreint fortement le champ d’application de l’analyse d’impact relative à la protection des données au sens de l’art. 22 nLPD⁵⁰⁴.