Rapport explicatif

ordinaire de la pseudonymisation (cf. art. 19 LDPa), soit d’une levée en cas d’urgence (cf. art. 20 LDPa). Dans les deux cas, la décision rendue par le tribunal est définitive, en vertu de l’art. 83, let. a, de la loi du 17 juin 2005 sur le Tribunal fédéral (LTF)¹⁵.

L’art. 11 définit la manière dont doit procéder l’UIP afin de vérifier préalablement les demandes de levée de la pseudonymisation adressées par les autorités compétentes.

Art. 12 Levée et rétablissement de la pseudonymisation

L’art. 12 limite à quelques personnes au sein de l’UIP la compétence de lever la pseudonymisation (let. a) ou de la rétablir immédiatement (let. b). Cette particularité se justifie dans la mesure où ces deux étapes de traitement sont cruciales du point de vue du droit sur la protection des données et que leur spécificité ne permet pas un processus automatique. De plus, la personne responsable doit s’assurer que le procès-verbal de journalisation renvoie au document légitimant cette étape de traitement (cf. art. 13, al. 2).

Let. a

La pseudonymisation est levée soit si une autorité compétente en fait la demande (cf. art. 19 et 20 LDPa), soit si une personne dépose une demande d’accès à ses données (art. 26 LDPa). Comme mentionné ci-avant, le TAF statue sur la levée de la pseudonymisation à la demande d’une autorité compétente. Un arrêt du tribunal n’est en revanche pas nécessaire lorsque la personne concernée dépose une demande d’accès et que ses données sont pseudonymisées. L’art. 25, al. 2, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)¹⁶ prévoit en effet que les «données personnelles traitées» doivent également être communiquées à la personne concernée dans les renseignements fournis. En cas de pseudonymisation des données, celle-ci doit être levée à la demande de la personne qui requiert les informations.

Let. b

Après avoir été levée, la pseudonymisation doit être immédiatement rétablie dans les deux cas explicités à la let. b.

Dans ce contexte, il s’agit toujours de données qui étaient auparavant pseudonymisées. De plus, la let. b clarifie une conséquence juridique qui ne découle qu’implicitement de la loi.

Le rétablissement de la pseudonymisation de données dont le marquage a été supprimé conformément à l’art. 10, al. 2, LDPa n’est pas mentionné à la let. b. L’art. 18, al. 2, LDPa prévoit que ces données doivent être pseudonymisées à moins qu’elles ne doivent être effacées en raison de leur délai de conservation. C’est pour cette raison notamment qu’une disposition au niveau de l’ordonnance n’est pas nécessaire.

15 RS 173.110