La traduction en anglais a été réalisée par Hugh Reeves et Corinne Gilgen (toutes deux Walder Wyss). Elle peut être soumise à une Licence CC BY-ND 4.0 peuvent être utilisées. Une version en tant que PDF se trouve ici. La version allemande se trouve ici.
1 Afin d’assurer une sécurité adéquate des données, le responsable du traitement et le sous-traitant doivent déterminer le besoin de protection des données à caractère personnel et préciser les mesures techniques et organisationnelles appropriées au regard du risque.
2 La nécessité de protéger les données à caractère personnel est évaluée en fonction des critères suivants :
3 Le risque pour la personnalité ou les droits fondamentaux du sujet des données est évalué selon les critères suivants :
4 Les critères suivants doivent également être pris en compte lors de la détermination des mesures techniques et organisationnelles :
5 Le besoin de protection des données à caractère personnel, le risque et les mesures techniques et organisationnelles doivent être examinés tout au long de la période de traitement. Les mesures doivent être adaptées si nécessaire.
Le contrôleur et le processeur doivent prendre des mesures techniques et organisationnelles pour s’assurer que, conformément à son besoin de protection, les données sont traitées :
1 Afin d’assurer la confidentialité, le responsable du traitement et le processeur doivent prendre des mesures appropriées pour la garantir :
2 Afin d’assurer la disponibilité et l’intégrité, le contrôleur et le processeur doivent prendre des mesures appropriées pour le garantir :
3 Afin d’assurer la traçabilité, le responsable du traitement et le processeur doivent prendre des mesures appropriées pour garantir cette traçabilité :
1 Si des données personnelles sensibles sont traitées automatiquement à grande échelle ou si un profilage à haut risque est effectué et que les mesures préventives ne garantissent pas la protection des données, le contrôleur privé et son processeur privé doivent au moins enregistrer le stockage, l’altération, la lecture, la divulgation, la révélation et la destruction des données. Les enregistrements doivent être conservés en particulier s’il n’est pas possible autrement d’établir rétroactivement si les données ont été traitées aux fins pour lesquelles elles ont été collectées ou divulguées.
2 Lors du traitement automatisé de données à caractère personnel, l’autorité fédérale responsable et son processeur doivent
au moins enregistrer le stockage, l’altération, la lecture, la divulgation, la révélation ou la destruction des données.
3 Dans le cas de données personnelles généralement accessibles au public, le stockage, l’altération, l’effacement et la destruction des données doivent au moins être enregistrés.
4 Les enregistrements doivent fournir des informations sur l’identité de la personne qui a effectué le traitement, la nature, la date et l’heure du traitement et, le cas échéant, l’identité du destinataire des données.
5 Les enregistrements doivent être conservés pendant au moins un an, séparément du système dans lequel les données à caractère personnel sont traitées. Ils ne doivent être accessibles qu’aux organes et aux personnes responsables du contrôle de l’application des règles de protection des données ou de la gestion ou du maintien de la confidentialité, de l’intégrité, de la disponibilité et de la traçabilité des données, et ne peuvent être utilisés qu’à cette fin.
1 Le contrôleur privé et son processeur privé doivent élaborer une politique de traitement pour le traitement automatisé s’ils :
2 La politique de traitement doit notamment contenir des informations sur l’organisation interne, la procédure de traitement et de contrôle des données et les mesures prises pour assurer la sécurité des données.
3 Le contrôleur privé et son processeur privé doivent régulièrement mettre à jour la politique de traitement. Si un conseiller en matière de protection des données a été désigné, la politique de traitement doit être mise à la disposition de ce conseiller.
1 L’autorité fédérale responsable et son processeur doivent élaborer une politique de traitement pour le traitement automatisé s’ils :
2 La politique de traitement doit notamment contenir des informations sur l’organisation interne, la procédure de traitement et de contrôle des données et les mesures prises pour assurer la sécurité des données.
3 L’autorité fédérale responsable et son processeur doivent régulièrement mettre à jour la politique de traitement et la mettre à la disposition du conseiller à la protection des données.
1 L’autorisation préalable du contrôleur permettant au processeur de transférer le traitement des données à un tiers peut être de nature spécifique ou générale.
2 Dans le cas d’une autorisation générale, le processeur doit informer le contrôleur de tout changement envisagé en ce qui concerne la participation ou le remplacement d’autres tiers. Le responsable du traitement peut s’opposer à de tels changements.
1 Les États, territoires, secteurs spécifiques d’un État et organismes internationaux offrant un niveau adéquat de protection des données sont énumérés à l’annexe 1.
2 L’évaluation de la question de savoir si un État, un territoire, un secteur spécifique au sein d’un État ou un organisme international garantit un niveau adéquat de protection des données doit se fonder en particulier sur les critères suivants :
protection des données ;
la jurisprudence pertinente ;
3 Le commissaire fédéral à la protection des données et à l’information (FDPIC) doit être consulté sur chaque évaluation. Les évaluations d’organismes internationaux ou d’autorités étrangères responsables de la protection des données peuvent être prises en compte.
4 L’adéquation du niveau de protection des données doit être réévaluée périodiquement.
5 Les évaluations doivent être publiées.
6 Si une évaluation visée au paragraphe 4 ou d’autres informations indiquent qu’un niveau adéquat de données
protection n’est plus assurée, l’annexe 1 doit être modifiée. Cette modification n’a pas d’effet sur les données
les informations communiquées antérieurement.
1 Les dispositions relatives à la protection des données d’un contrat conforme à l’article 16(2)(b) du PADF et les garanties spécifiques conformes à l’article 16(2)(c) du PADF doivent contenir au moins les aspects suivants :
j. les droits des personnes concernées par les données, en particulier :
2 Le responsable du traitement et, dans le cas des dispositions d’un contrat relatives à la protection des données, le processeur doivent prendre des mesures appropriées pour s’assurer que le destinataire respecte ces dispositions ou les garanties spécifiques.
3 Si le FDPIC a été informé des dispositions relatives à la protection des données d’un contrat ou des garanties spécifiques, l’obligation d’information est réputée satisfaite pour toutes les autres divulgations que celui-ci :
1 Si le contrôleur ou le processeur divulgue des données personnelles à l’étranger au moyen de clauses standard de protection des données conformément à l’article 16(2)(d) du PADF, le contrôleur ou le processeur doit prendre les mesures appropriées pour s’assurer que le destinataire s’y conforme.
2 Le FDPIC a publié une liste des clauses standard de protection des données qu’il a approuvées, établies ou reconnues. Il doit communiquer le résultat de son examen des clauses standard de protection des données qui lui ont été soumises dans un délai de 90 jours.
1 Les règles d’entreprise contraignantes en matière de protection des données, conformément à l’article 16(2)(e) du FADP, s’appliquent à toutes les entreprises appartenant au même groupe.
2 Elles doivent contenir au moins les éléments mentionnés à l’article 9, paragraphe 1, ainsi que les informations suivantes :
3 Le FDPIC doit communiquer le résultat de son examen des règles d’entreprise contraignantes en matière de protection des données qui lui ont été soumises dans un délai de 90 jours.
1 Les données personnelles peuvent être divulguées à l’étranger si un niveau adéquat de protection des données est assuré par un code de conduite ou une certification.
2 Le code de conduite doit être soumis à l’approbation préalable du FDPIC.
3 Le code de conduite ou la certification doit être lié à une obligation contraignante et exécutoire de la part du contrôleur ou du processeur dans le pays tiers d’appliquer les mesures qui y sont contenues.
Le responsable du traitement doit communiquer au sujet des données les informations relatives à la collecte de données à caractère personnel sous une forme précise, transparente, compréhensible et aisément accessible.
Le responsable du traitement doit conserver l’évaluation de l’impact sur la protection des données pendant au moins deux ans après la fin de l’activité de traitement des données.
1 La notification d’une violation de la sécurité des données au FDPIC doit contenir les informations suivantes :
y compris tout risque ;
2 Si le contrôleur n’est pas en mesure de fournir toutes les informations en même temps, il doit fournir les informations manquantes dès que possible.
3 Si le responsable du traitement est tenu d’informer les personnes concernées, il leur communique, dans un langage simple et compréhensible, au moins les informations visées au paragraphe 1, points a) et e) à g).
4 Le responsable du traitement doit documenter les violations de la sécurité des données. La documentation doit contenir tous les faits relatifs aux incidents, à leurs effets et aux mesures prises. La documentation doit être conservée pendant au moins deux ans à compter de la date de notification visée au paragraphe 1.
1 Toute personne qui demande au responsable du traitement des informations sur le traitement de données à caractère personnel la concernant doit le faire par écrit. Si le responsable du traitement y consent, la demande peut également être formulée verbalement.
2 Les informations doivent être fournies par écrit ou sous la forme sous laquelle les données sont disponibles. Avec l’accord du responsable du traitement, le sujet des données peut également examiner ses données in situ. Les informations peuvent être fournies verbalement si le sujet des données y consent.
3 La demande d’informations et la fourniture d’informations peuvent être effectuées par voie électronique.
4 Les informations doivent être fournies au sujet des données sous une forme compréhensible.
5 Le responsable du traitement doit prendre des mesures raisonnables pour identifier le sujet des données. Les personnes concernées sont tenues de coopérer.
1 Si plusieurs contrôleurs traitent conjointement des données à caractère personnel, le sujet des données peut faire valoir son droit d’accès auprès de chaque contrôleur.
2 Si la demande d’information porte sur des données traitées par un processeur, le processeur doit aider le responsable du traitement à fournir l’information, à moins que le processeur ne réponde à la demande pour le compte du responsable du traitement.
1 Les informations doivent être fournies dans un délai de 30 jours à compter de la réception de la demande d’informations.
2 Si l’information ne peut être fournie dans un délai de 30 jours, le contrôleur doit en informer le sujet des données et lui indiquer la période au cours de laquelle l’information sera fournie.
3 Si le responsable du traitement refuse, restreint ou refuse de fournir les informations, il doit en informer le sujet des données dans le même délai.
1 Le responsable du traitement peut demander au sujet des données le paiement d’une part appropriée des frais si la fourniture des informations implique un effort disproportionné.
2 La part des frais s’élève à un maximum de 300 francs suisses.
3 Le responsable du traitement doit informer le sujet des données du montant de la part avant que l’information ne soit fournie. Si le sujet des données ne confirme pas la demande d’information dans un délai de dix jours, il est réputé avoir renoncé à cette information sans encourir de frais. Le délai prévu à l’article 18, paragraphe 1, commence à courir à l’expiration de la période de réflexion de dix jours.
1 Les données à caractère personnel que la personne concernée a communiquées au responsable du traitement sont réputées être des données à caractère personnel :
2 Données personnelles générées par le responsable du traitement par le biais de sa propre évaluation des données personnelles fournies, ou
ne sont pas considérées comme des données à caractère personnel que le sujet des données a communiquées au contrôleur.
1 Les formats électroniques communs sont ceux qui permettent aux données personnelles d’être transférées avec un
effort raisonnable et à être utilisées ultérieurement par le sujet des données ou par un autre contrôleur.
2 Le droit à la portabilité des données ne crée pas d’obligation pour le contrôleur d’adopter ou de maintenir des systèmes de traitement des données techniquement compatibles.
3 Il existe un effort disproportionné pour le transfert de données à caractère personnel vers un autre responsable du traitement si le transfert n’est pas techniquement possible.
Les articles 16(1) et (5), et 17 – 19 s’appliquent mutatis mutandis au droit à la portabilité des données.
Le contrôleur doit fournir au conseiller à la protection des données :
Les sociétés et autres organisations de droit privé qui emploient moins de 250 personnes au 1er janvier de l’année, ainsi que les personnes physiques, sont exemptées de l’obligation de tenir un inventaire des activités de traitement, sauf si l’une des conditions suivantes est remplie :
Chaque autorité fédérale désigne un conseiller à la protection des données. Plusieurs organes fédéraux peuvent désigner conjointement un conseiller à la protection des données.
1 Le conseiller en matière de protection des données doit satisfaire aux exigences suivantes :
2 Le conseiller à la protection des données doit s’acquitter des tâches suivantes :
a. Le conseiller à la protection des données assiste dans l’application de la réglementation relative à la protection des données, en particulier par :
1 L’autorité fédérale a les obligations suivantes à l’égard du conseiller à la protection des données :
2 L’autorité fédérale publie sur Internet les coordonnées du conseiller à la protection des données et les communique au FDPIC.
Le conseiller à la protection des données sert de point de contact pour le FDPIC pour les questions relatives au traitement des données à caractère personnel par l’organe fédéral concerné.
L’autorité fédérale responsable doit informer le destinataire de l’actualité, de la fiabilité et de l’exhaustivité des données à caractère personnel qu’elle divulgue, pour autant que ces informations ne ressortent pas des données elles-mêmes ou des circonstances.
Lorsqu’une autorité fédérale collecte systématiquement des données à caractère personnel, l’autorité fédérale responsable doit informer en conséquence les sujets de données qui ne sont pas tenus de fournir des informations.
1 L’autorité fédérale responsable doit notifier au FDPIC les activités de traitement automatisé prévues à
la date de la décision sur le développement du projet ou de l’approbation du projet.
2 La notification doit inclure les informations spécifiées à l’article 12(2)(a‑d) du FADP et les informations attendues de la part de la personne concernée.
date de début des activités de traitement.
3 Le FDPIC doit inclure cette notification dans son registre des activités de traitement.
4 L’autorité compétente doit mettre à jour la notification au moment du passage à la production.
ou lorsque le projet est interrompu.
Un projet pilote est indispensable si l’une des conditions suivantes est remplie :
1 Avant de consulter les unités administratives intéressées, l’organe fédéral responsable du projet pilote doit communiquer sur la manière dont il entend se conformer aux exigences de l’article 35 FADP et inviter le FDPIC à formuler des commentaires à ce sujet.
2 Le FDPIC doit se prononcer sur la question de savoir si les conditions d’autorisation visées à l’article 35 du FADP sont remplies. L’organisme fédéral lui fournit tous les documents nécessaires, et en particulier
conformément à l’article 34(2) du FADP et qu’une phase de test est indispensable avant qu’une loi formelle n’entre en vigueur ;
4 L’organe fédéral doit informer le FDPIC de toute modification importante concernant le respect des exigences de l’article 35 FADP. Si nécessaire, le FDPIC exprime à nouveau son point de vue à ce sujet.
5 L’avis du FDPIC doit être inclus dans la demande au Conseil fédéral.
6 Le traitement automatisé des données est réglementé par une ordonnance.
1 L’autorité fédérale compétente soumet le projet de rapport d’évaluation au Conseil fédéral pour commentaire au FDPIC.
2 L’organe fédéral compétent doit soumettre le rapport d’évaluation, avec l’avis du FDPIC, au Conseil fédéral.
Si des données à caractère personnel sont traitées à des fins qui ne sont pas liées à des personnes spécifiques, notamment à des fins de recherche, de planification et de statistiques, et en même temps à d’autres fins, les exceptions prévues à l’article 39(2) du FADP ne s’appliquent qu’au traitement à des fins qui ne sont pas liées à des personnes spécifiques.
1 Les sièges sociaux du FDPIC sont situés à Berne.
2 L’emploi des membres du secrétariat permanent du FDPIC est régi par la loi fédérale sur le personnel. Les salariés sont assurés auprès de la Caisse fédérale de retraite dans le cadre du régime de retraite fédéral.
1 Le PRDF communique avec le Conseil fédéral par l’intermédiaire du Chancelier fédéral. Le Chancelier fédéral transmet au Conseil fédéral toutes les propositions, opinions et rapports du PRDF, sans les modifier.
2 Le FDPIC soumet des rapports à l’Assemblée fédérale via les Services parlementaires.
1 Les départements et le Chancelier fédéral informent le FDPIC de leurs décisions en matière de protection des données ainsi que de leurs directives en la matière, sous une forme anonyme.
2 Les organes fédéraux doivent soumettre au FDPIC tout projet de législation relatif au traitement des données personnelles, à la protection des données ou à l’accès aux documents officiels.
Le FDPIC peut traiter des données personnelles, y compris des données personnelles sensibles, en particulier pour les raisons suivantes :
Le CLIP élabore une politique de traitement pour toutes les activités de traitement automatisé. L’article 6, paragraphe 1, ne s’applique pas.
1 Le FDPIC peut transmettre la notification d’une violation de la sécurité des données au Centre national de cybersécurité (NCSC) pour analyse de l’incident avec le consentement du contrôleur qui est soumis à l’obligation de notification. La notification peut contenir des données à caractère personnel.
2 Le FDPIC doit inviter le NCSC à présenter ses observations avant d’ordonner à l’organe fédéral de prendre les mesures prévues à l’article 8 du FADP.
1 Le registre des activités de traitement des organes fédéraux contient les informations fournies par les organes fédéraux conformément à l’article 12(2) du FADP et à l’article 31(2) de la présente ordonnance.
2 Le registre est publié sur l’internet. Les inscriptions au registre concernant des activités de traitement automatisé prévues conformément à l’article 31 ne sont pas publiées.
Si un code de conduite est soumis au FDPIC, celui-ci doit indiquer, selon son avis, si le code de conduite est conforme aux exigences de l’article 22(5)(a) et (b) du FADP.
1 Les frais facturés par le FDPIC sont basés sur le temps passé.
2 Un tarif horaire de 150 à 250 francs suisses est appliqué, en fonction de la fonction du personnel exécutant la tâche.
3 Dans le cas de services d’une ampleur, d’une difficulté ou d’une urgence exceptionnelles, des surtaxes allant jusqu’à 50 % des redevances visées au paragraphe 2 peuvent être prélevées.
4 Si le service fourni par le FDPIC peut être utilisé ultérieurement à des fins commerciales par la personne qui est
obligée de payer les frais, des surcharges pouvant atteindre 100 % des frais visés au paragraphe 2 peuvent être prélevées.
5 A tous les autres égards, l’ordonnance générale sur les taxes du 8 septembre 2004 s’applique.
Le rappel et les modifications d’autres législations figurent à l’annexe 2.
1 Pour les activités de traitement de données qui ne relèvent pas du champ d’application de la directive (UE) 2016/680, l’article 4(2) s’applique au plus tard trois ans après l’entrée en vigueur de la présente ordonnance ou au plus tard à la fin du cycle de vie du système. Dans l’intervalle, ces activités de traitement sont soumises à l’article 4, paragraphe 1.
2 L’article 8, paragraphe 5, ne s’applique pas aux évaluations effectuées avant l’entrée en vigueur de la présente ordonnance.
3 L’article 31 ne s’applique pas aux activités de traitement automatisé prévues pour lesquelles, à la date d’entrée en vigueur de la présente ordonnance, le projet a déjà été approuvé ou la décision relative au développement du projet a déjà été prise.
La présente ordonnance entre en vigueur le 1er septembre 2023.
(Article 8(1))
États, territoires, secteurs spécifiques dans un État et
les organismes internationaux ayant un niveau de protection des données adéquat
Un niveau adéquat de protection des données est assuré lorsque la loi fédérale canadienne sur la protection des renseignements personnels et les documents électroniques du 13 avril 2000 (Personal Information Protection and Electronic Documents Act) s’applique dans la sphère privée ou lorsqu’une loi provinciale canadienne largement équivalente à la loi fédérale s’applique. La loi fédérale s’applique aux données à caractère personnel qui sont collectées, traitées ou divulguées dans le cadre d’activités commerciales, que ce soit par des organisations telles que des associations, des partenariats, des individus et des syndicats ou des entités réglementées par le gouvernement fédéral telles que des installations, des usines, des entreprises ou des activités commerciales qui relèvent de la compétence législative du Parlement canadien. Les provinces du Québec, de la Colombie-Britannique et de l’Alberta ont adopté une législation largement équivalente à la législation fédérale. Les provinces de l’Ontario, du Nouveau-Brunswick, de Terre-Neuve-et-Labrador et de la Nouvelle-Écosse ont adopté une législation largement équivalente à la législation fédérale en ce qui concerne les données relatives à la santé. Dans toutes les provinces canadiennes, la loi fédérale s’applique à toutes les données à caractère personnel collectées, traitées ou divulguées par des entités réglementées par le gouvernement fédéral, y compris les données des employés de ces entités. La loi fédérale s’applique également aux données à caractère personnel transférées vers une autre province ou un autre pays dans le cadre d’activités commerciales.
L’évaluation de l’adéquation de la protection des données inclut la divulgation des données à caractère personnel conformément à la directive (UE) 2016/680.
L’évaluation de l’adéquation de la protection des données inclut la divulgation des données personnelles conformément à une décision de mise en œuvre de la Commission européenne déterminant l’adéquation de la protection des données en vertu de la directive (UE) 2016/680.
L’évaluation de l’adéquation de la protection des données n’inclut pas la divulgation de données à caractère personnel dans le cadre de la coopération prévue par la directive (UE) 2016/680.