La loi révisée sur la protection des données impose une obligation documentaire précise, le registre des activités de traitement, que l'on appelle aussi registre de traitement ou, par analogie avec le droit européen, registre RGPD, entourée de principes et de devoirs qui en déterminent le contenu. Les articles ci-dessous forment un ensemble : le registre décrit ce que les principes autorisent.
Le registre, et qui doit le tenir. L'article 12 est direct : responsables du traitement et sous-traitants tiennent chacun un registre de leurs activités. Celui du responsable contient au minimum sept indications : son identité ; la finalité du traitement ; une description des catégories de personnes concernées et des catégories de données traitées ; les catégories de destinataires ; dans la mesure du possible, le délai de conservation ou les critères permettant de le déterminer ; dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données ; et, en cas de communication à l'étranger, le nom de l'État concerné ainsi que les garanties prévues. Le registre du sous-traitant est plus court : identité du sous-traitant et du responsable, catégories de traitements effectués pour son compte, plus les deux dernières indications. Les organes fédéraux déclarent leur registre au PFPDT. Enfin, le Conseil fédéral prévoit des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité d'atteinte à la personnalité.
Les principes qui gouvernent tout traitement. L'article 6 les pose et ils commandent le reste : licéité, bonne foi, proportionnalité. Les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée, et doivent être traitées ensuite de manière compatible avec ces finalités. Elles sont détruites ou anonymisées dès qu'elles ne sont plus nécessaires. Celui qui traite doit s'assurer de leur exactitude et prendre toute mesure appropriée pour rectifier, effacer ou détruire les données inexactes ou incomplètes ; le caractère approprié dépend du type de traitement, de son étendue et du risque encouru. Quant au consentement, il n'est valable que s'il est donné librement, sur un ou plusieurs traitements déterminés, et après information. Il doit être exprès dans trois cas : traitement de données sensibles, profilage à risque élevé par une personne privée, et tout profilage effectué par un organe fédéral.
Dès la conception, et par défaut. L'article 7 déplace l'exigence en amont : les mesures techniques et organisationnelles doivent être mises en place dès la conception du traitement, et non ajoutées après coup. Elles s'apprécient au regard de l'état de la technique, du type de traitement, de son étendue et du risque. Le responsable doit en outre garantir, par des préréglages appropriés, que le traitement se limite au minimum requis par la finalité poursuivie, sauf disposition contraire de la personne concernée.
Le devoir d'informer. L'article 19 impose d'informer la personne concernée de manière adéquate lors de la collecte, que celle-ci ait lieu auprès d'elle ou non. Trois éléments au minimum : l'identité et les coordonnées du responsable, la finalité du traitement, et le cas échéant les destinataires ou catégories de destinataires. Si les données ne sont pas collectées auprès de la personne, s'y ajoutent les catégories de données traitées, et l'information doit lui parvenir au plus tard un mois après l'obtention des données, ou lors de la première communication si celle-ci intervient avant. En cas de communication à l'étranger, le nom de l'État ou de l'organisme international doit également être indiqué.
L'annonce des violations. L'article 24 impose au responsable d'annoncer dans les meilleurs délais au PFPDT toute violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux. L'annonce indique au minimum la nature de la violation, ses conséquences, et les mesures prises ou envisagées. Le sous-traitant, lui, annonce sans délai au responsable. La personne concernée est informée lorsque sa protection l'exige ou lorsque le PFPDT le demande, cette information pouvant être restreinte, différée ou omise dans des cas énumérés. Enfin, une annonce fondée sur cet article ne peut être utilisée dans une procédure pénale contre la personne tenue d'annoncer qu'avec son consentement.
Constituer un registre revient à répondre, traitement par traitement, aux sept points de l'article 12 : qui est responsable, pour quelle finalité, sur quelles catégories de personnes et de données, vers quels destinataires, pendant combien de temps, avec quelles mesures de sécurité, et vers quels pays le cas échéant. Les deux dates à retenir par ailleurs sont le délai d'un mois pour informer lorsque les données ne viennent pas de la personne, et l'exigence d'annonce sans délai au PFPDT en cas de violation à risque élevé. Chercher « registre des traitements » ouvre sur les dispositions liées : sécurité des données, analyse d'impact, communication à l'étranger et droit d'accès.
Le texte des articles
RS 235.1
Art. 6. Principes
1 Tout traitement de données personnelles doit être licite.
2 Il doit être conforme aux principes de la bonne foi et de la proportionnalité.
3 Les données personnelles ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée et doivent être traitées ultérieurement de manière compatible avec ces finalités.
4 Elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement.
5 Celui qui traite des données personnelles doit s’assurer qu’elles sont exactes. Il prend toute mesure appropriée permettant de rectifier, d’effacer ou de détruire les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées. Le caractère approprié de la mesure dépend notamment du type de traitement et de son étendue, ainsi que du risque que le traitement des données en question présente pour la personnalité ou les droits fondamentaux des personnes concernées.
6 Lorsque le consentement de la personne concernée est requis, celle-ci ne consent valablement que si elle exprime librement sa volonté concernant un ou plusieurs traitements déterminés et après avoir été dûment informée.
7 Le consentement doit être exprès dans les cas suivants: a. il s’agit d’un traitement de données sensibles; b. il s’agit d’un profilage à risque élevé effectué par une personne privée; c. il s’agit d’un profilage effectué par un organe fédéral.
Art. 7. Protection des données dès la conception et par défaut
1 Le responsable du traitement est tenu de mettre en place des mesures techniques et organisationnelles afin que le traitement respecte les prescriptions de protection des données, en particulier les principes fixés à l’art. 6. Il le fait dès la conception du traitement.
2 Les mesures techniques et organisationnelles doivent être appropriées au regard notamment de l’état de la technique, du type de traitement et de son étendue, ainsi que du risque que le traitement des données présente pour la personnalité ou les droits fondamentaux des personnes concernées.
3 Le responsable du traitement est tenu de garantir, par le biais de préréglages appropriés, que le traitement des données personnelles soit limité au minimum requis par la finalité poursuivie, pour autant que la personne concernée n’en dispose pas autrement.
Art. 12. Registre des activités de traitement
1 Les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement.
2 Le registre du responsable du traitement contient au moins les indications suivantes: a. l’identité du responsable du traitement; b. la finalité du traitement; c. une description des catégories de personnes concernées et des catégories de données personnelles traitées; d. les catégories de destinataires; e. dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; f. dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l’art. 8; g. en cas de communication de données personnelles à l’étranger, le nom de l’État concerné et les garanties prévues à l’art. 16, al. 2.
3 Le registre du sous-traitant contient des indications concernant l’identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l’al. 2, let. f et g.
4 Les organes fédéraux déclarent leur registre d’activités de traitement au PFPDT.
5 Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées.
Art. 19. Devoir d’informer lors de la collecte de données personnelles
1 Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d’elle ou non.
2 Lors de la collecte, il communique à la personne concernée les informations nécessaires pour qu’elle puisse faire valoir ses droits selon la présente loi et pour que la transparence des traitements soit garantie; il lui communique au moins: a. l’identité et les coordonnées du responsable du traitement; b. la finalité du traitement; c. le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises.
3 Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique en outre les catégories de données traitées à cette personne.
4 Lorsque des données personnelles sont communiquées à l’étranger, il communique également à la personne concernée le nom de l’État ou de l’organisme international auquel elles sont communiquées et, le cas échéant, les garanties prévues à l’art. 16, al. 2, ou l’application d’une des exceptions prévues à l’art. 17.
5 Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique à cette personne les informations mentionnées aux al. 2 à 4 au plus tard un mois après qu’il a obtenu les données personnelles. S’il communique les données personnelles avant l’échéance de ce délai, il en informe la personne concernée au plus tard lors de la communication.
Art. 24. Annonce des violations de la sécurité des données
1 Le responsable du traitement annonce dans les meilleurs délais au PFPDT les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.
2 L’annonce doit indiquer au moins la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées.
3 Le sous-traitant annonce dans les meilleurs délais au responsable du traitement tout cas de violation de la sécurité des données.
4 Le responsable du traitement informe la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l’exige.
5 Il peut restreindre l’information de la personne concernée, la différer ou y renoncer, dans les cas suivants: a. il existe un motif au sens de l’art. 26, al. 1, let. b, ou 2, let. b, ou un devoir légal de garder le secret qui l’interdit; b. l’information est impossible à fournir ou exige des efforts disproportionnés; c. l’information de la personne concernée peut être garantie de manière équivalente par une communication publique. 5bis Le PFPDT peut, avec l’accord du responsable du traitement, transmettre l’annonce à l’Office fédéral de la cybersécurité pour que celui-ci analyse l’incident. La communication peut contenir des données personnelles, y compris des données sensibles relatives à des poursuites ou à des sanctions pénales ou administratives visant le responsable du traitement.
6 Une annonce fondée sur le présent article ne peut être utilisée dans le cadre d’une procédure pénale contre la personne tenue d’annoncer qu’avec son consentement.
Gardez le fil
Avec un compte gratuit, enregistrez vos recherches, suivez une loi et soyez alerté à chaque modification.
