Rapport explicatif

Art. 38 Traitement de données personnelles et de données concernant des per- sonnes morales

Depuis le 1^erseptembre 2023, la révision totale de la LPD a apporté plusieurs nou- veautés qu’il convient de prendre en compte.

Al. 1 : Parmi celles-ci, il y a l’exclusion des données des personnes morales du champ d’application de la LPD. Pour le traitement de ces données par les organes fédéraux, le nouveau siège de la matière se trouve aux art. 57r ss LOGA. L’art. 57r, al. 1 LOGA fournit la base pour le traitement des données concernant des personnes morales, y compris les données sensibles, pour autant que les tâches de l’autorité soient inscrites dans une loi formelle. Au sens de l’art. 57r, al. 2 LOGA, fournit une définition des don- nées sensibles concernant des personnes morales.

Étant donné que les fournisseurs de plateformes de communication ou de moteurs de recherche tombant dans le champ d’application de l’art. 2 sont principalement des per- sonnes morales, l’OFCOM traite principalement des données les concernant. Il se jus- tifie donc de prévoir une base légale explicite dans cet article pour définir clairement pour quelles tâches l’OFCOM pourra traiter des données concernant les personnes morales.

Ainsi, le traitement des données concernant les personnes morales se fera dans le cadre de l’assujettissement des fournisseurs de plateformes de communication ou de moteurs de recherche, du contrôle des différents rapports, de la surveillance et de l’évaluation législative.

Al. 2 : Concernant la protection des données des personnes physiques, l’art. 34, al. 1 LPD pose l’exigence de la base légale pour le traitement des données effectué par les organes fédéraux. Bien que l’avant-projet n’ait pas pour objectif en soi la collecte de données personnelles de la part des autorités et que la loi exige des rapports sans données personnelles, la loi donne à l’OFCOM plusieurs tâches pour lesquelles le trai- tement de données personnelles ne peut être entièrement exclu. Cette disposition vient donc en complément de l’art. 57h^bisLOGA sur le traitement des données dans les sys- tèmes de gestion des affaires. Cela peut concerner les données des collaborateurs des fournisseurs de plateformes de communication ou de moteurs de recherche ou encore les données des utilisateurs. Le deuxième alinéa liste les tâches d’assujettissement des fournisseurs de plateformes de communication ou de moteurs de recherche à la loi, de surveillance et d’évaluation législative, auxquelles il convient d’ajouter l’obliga- tion de renseigner inscrite à l’art. 28.

Al. 3 : Conformément à l’art. 34, al. 2 LPD, lorsqu’une autorité traite des données sen- sibles ou effectue des profilages, le traitement doit être prévu dans une loi formelle.

Dans le cadre de ses activités de surveillance, l’OFCOM peut être amené à traiter de données sensibles (art. 5, let. c LPD) des utilisateurs des plateformes de communica- tion et de moteurs de recherche. En effet malgré l’exigence légale de fournir des rap- ports sans données personnelles, il est possible que l’OFCOM ait besoin des données primaires des fournisseurs, qu’il peut demander dans le cadre de l’obligation de ren- seigner (art. 28), pour contrôler le respect des dispositions légales. Ainsi, il ne peut être exclu que les renseignements fournis en lien avec les rapports de transparence (art. 19), les rapports sur l’évaluation des risques (art. 20) ou encore les rapports d’éva- luation (art. 25) contiennent des données sensibles comme les opinions ou les activités religieuses, philosophiques, politiques ou syndicales, la santé, la sphère intime ou l’ori- gine raciale ou ethnique, ainsi que des données sur des poursuites ou sanctions 41/48