Rapport sur les résultats

3.3.2.22 Art. 79, al. 1 (Conservation et archivage des données)

1 Le NCSC conserve les données personnelles aussi longtemps que celles-ci sont utiles pour prévenir des dangers ou pour identifier des incidents, mais cinq ans au plus à compter de leur dernière utilisation; en ce qui concerne les données sensibles, la durée de conservation est limitée à deux ans.

10 participants à la consultation se sont exprimés sur le délai de conservation des données personnelles par le NCSC.

 Remarques générales sur l'art. 79, al. 1

CH++ propose ici de qualifier la notion d'«utilisation», par exemple qu'il soit question d'«utilisation obligatoire». La simple ouverture d'un enregistrement ne peut évidemment pas entraîner une prolongation de la durée de conservation autorisée.

L'UTP, Migros ainsi que l'UZH, l'UNIL et le PNR 77 demandent plus de précisions quant à l'expression «dernière utilisation».

Selon l'ISSS, Härting Rechtsanwälte et privatim, le principe de proportionnalité en matière de protection des données impose que les données ne soient conservées que le temps nécessaire à la réalisation de l'objectif. Des modèles anonymisés peuvent être générés à partir des données personnelles. L'ISSS et Härting Rechtsanwälte proposent de limiter à six mois la durée de conservation des données sensibles et d'autoriser la conservation pour une durée illimitée des enseignements tirés de données personnelles, sous la forme de modèles identifiés ou sous une forme anonymisée.

La CCPCS demande que le délai de conservation des données soit aligné sur les art. 97 et 109 du code pénal.

Le canton BE demande que la disposition soit adaptée afin que les données ne soient en règle générale pas effacées avant la fin du délai de prescription de l'action pénale pour les infractions concernées.

3.3.2.23 Modification d'autres lois

Les lois mentionnées ci-après sont modifiées comme suit:

1. Loi du 23 mars 2007 sur l'approvisionnement en électricité8 Art. 8a Protection contre les cyberrisques

1 Les gestionnaires de réseau, les producteurs et les agents de stockage prennent des mesures pour protéger adéquatement leurs installations contre les cyberrisques.

2 Le Conseil fédéral peut étendre cette obligation à d'autres parties.

2. Loi du 25 septembre 2020 sur la protection des données9 Art. 24, al. 5bis 5bis Le PFPDT peut, avec l'accord du responsable tenu à l'obligation de signalement, transmettre le signalement au Centre national pour la cybersécurité à des fins d'analyse de l'incident. Le signalement peut contenir des données personnelles, y compris des données sensibles relatives à des poursuites ou à des sanctions pénales ou administratives visant le responsable tenu à l'obligation de signalement.

8 RS 734.7