déplier | replier

Cha­pit­re 1 Dis­po­si­ti­ons générales

Sec­tion 1 Sécu­ri­té des données

Art. 1 Principes

1 Les critères sui­vants per­met­tent de déter­mi­ner si les mesu­res tech­ni­ques ou orga­ni­sa­ti­on­nel­les visa­nt à garan­tir la sécu­ri­té des don­nées sont pro­por­ti­onnées au risque :

a. l’ob­jec­tif, la natu­re, l’é­ten­due et les cir­con­stances du trai­te­ment des données ;
b. la pro­ba­bi­li­té d’oc­cur­rence d’u­ne vio­la­ti­on de la sécu­ri­té des don­nées et ses con­sé­quen­ces poten­ti­el­les pour les per­son­nes concernées ;
c. l’é­tat de la technique ;
d. les coûts de mise en œuvre.
2 Les mesu­res doi­vent être réex­ami­nées à inter­val­les appro­priés pen­dant tou­te la durée du traitement.


Art. 2 Objec­tifs de protection 

Dans la mesu­re où elles sont appro­priées, les mesu­res visa­nt à garan­tir la sécu­ri­té des don­nées doi­vent att­eind­re les objec­tifs de pro­tec­tion suivants :

a. Con­trô­le d’ac­cès : l’ac­cès des per­son­nes auto­ri­sées est limi­té aux don­nées per­son­nel­les dont elles ont beso­in pour accom­plir leur tâche.
b. Con­trô­le d’ac­cès : l’ac­cès aux instal­la­ti­ons et aux équi­pe­ments dans les­quels des don­nées per­son­nel­les sont trai­tées est inter­dit aux per­son­nes non autorisées.
c. Con­trô­le des sup­ports de don­nées : la lec­tu­re, la copie, la modi­fi­ca­ti­on, le dépla­ce­ment ou la sup­pres­si­on de sup­ports de don­nées sont ren­dus impos­si­bles aux per­son­nes non autorisées.
d. Con­trô­le de la mémoi­re : l’in­tro­duc­tion non auto­ri­sée dans la mémoi­re des don­nées ain­si que la con­sul­ta­ti­on, la modi­fi­ca­ti­on ou l’effa­ce­ment non auto­ri­sés de don­nées per­son­nel­les enre­gi­strées sont empêchés.
e. Con­trô­le des uti­li­sa­teurs : l’uti­li­sa­ti­on de systè­mes de trai­te­ment auto­ma­ti­sé de don­nées au moy­en d’é­qui­pe­ments de trans­mis­si­on de don­nées par des per­son­nes non auto­ri­sées est empêchée.
f. Con­trô­le du trans­port : lors de la com­mu­ni­ca­ti­on de don­nées per­son­nel­les et du trans­port de sup­ports de don­nées, il faut empêcher que les don­nées pui­s­sent être lues, copiées, modi­fi­ées ou effa­cées de maniè­re non autorisée.
g. Con­trô­le de la sai­sie : dans les systè­mes auto­ma­ti­sés, il est pos­si­ble de véri­fier quel­les don­nées per­son­nel­les ont été sai­sies ou modi­fi­ées, à quel moment et par quel­le personne.
h. Con­trô­le de la com­mu­ni­ca­ti­on : il est pos­si­ble de véri­fier à qui des don­nées per­son­nel­les ont été com­mu­ni­quées à l’ai­de de dis­po­si­tifs de trans­mis­si­on de données.
i. Restau­ra­ti­on : la dis­po­ni­bi­li­té des don­nées per­son­nel­les et l’ac­cès à cel­les-ci peu­vent être rapi­de­ment rétab­lis en cas d’in­ci­dent phy­si­que ou technique.
j. Il est garan­ti que tou­tes les fonc­tions du système sont dis­po­ni­bles (dis­po­ni­bi­li­té), que les dys­fonc­tion­ne­ments qui sur­vi­en­nent sont signa­lés (fia­bi­li­té) et que les don­nées per­son­nel­les enre­gi­strées ne peu­vent pas être endom­ma­gées par un dys­fonc­tion­ne­ment du système (inté­gri­té des données).
k. Détec­tion : les vio­la­ti­ons de la sécu­ri­té des don­nées peu­vent être rapi­de­ment détec­tées et des mesu­res peu­vent être pri­ses pour en atté­nuer ou en éli­mi­ner les conséquences.


Art. 3 Éta­blis­se­ment du procès-verbal

1 Si l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées révè­le que le trai­te­ment auto­ma­ti­sé de don­nées per­son­nel­les pré­sen­te enco­re un ris­que éle­vé pour la per­son­na­li­té ou les droits fon­da­men­taux des per­son­nes con­cer­nées mal­gré les mesu­res pré­vues par le responsable du trai­te­ment, le responsable pri­vé et son sous-trai­tant enre­gi­st­rent au moins les opé­ra­ti­ons sui­van­tes : l’en­re­gi­stre­ment, la modi­fi­ca­ti­on, la lec­tu­re, la com­mu­ni­ca­ti­on, l’effa­ce­ment ou la destruction.
2 Lors du trai­te­ment auto­ma­ti­sé de don­nées per­son­nel­les, les orga­nes fédé­raux et leurs man­da­tai­res enre­gi­st­rent au moins les opé­ra­ti­ons sui­van­tes : l’en­re­gi­stre­ment, la modi­fi­ca­ti­on, la lec­tu­re, la com­mu­ni­ca­ti­on, l’effa­ce­ment ou la destruction.
3 Le procès-ver­bal indi­que la natu­re du trai­te­ment, l’i­den­ti­té de la per­son­ne qui a effec­tué le trai­te­ment, l’i­den­ti­té du desti­na­tai­re et le moment où le trai­te­ment a eu lieu.
4 Les fichiers jour­naux doi­vent être con­ser­vés pen­dant deux ans, sépa­ré­ment du système dans lequel les don­nées per­son­nel­les sont trai­tées. Ils ne sont acce­s­si­bles qu’aux orga­nes ou aux per­son­nes char­gés de la sur­veil­lan­ce des règles de pro­tec­tion des don­nées ou du réta­blis­se­ment de la con­fi­den­tia­li­té, de l’in­té­gri­té, de la dis­po­ni­bi­li­té et de la tra­ça­bi­li­té des don­nées, et ne peu­vent être uti­li­sés qu’à cet­te fin.


Art. 4 Règle­ment de trai­te­ment des per­son­nes privées

1 Le responsable et ses sous-trai­tants doi­vent éta­b­lir un règle­ment pour les trai­te­ments auto­ma­ti­sés lorsqu’ils :

a. trai­tent des don­nées per­son­nel­les sen­si­bles à gran­de échel­le ; ou
b. effec­tuer un pro­fi­la­ge à haut risque.

2 Le règle­ment doit con­te­nir au moins les indi­ca­ti­ons suivantes

a. au but du traitement ;
b. sur les caté­go­ries de per­son­nes con­cer­nées et les caté­go­ries de don­nées per­son­nel­les traitées ;
c. à la durée de con­ser­va­ti­on des don­nées per­son­nel­les ou aux critères de déter­mi­na­ti­on de cet­te durée ;
d. sur l’or­ga­ni­sa­ti­on interne ;
e. sur l’o­ri­gi­ne des don­nées per­son­nel­les et sur la maniè­re dont elles ont été collectées ;
f. sur les mesu­res tech­ni­ques et orga­ni­sa­ti­on­nel­les visa­nt à garan­tir la sécu­ri­té des données ;
g. sur les droits d’ac­cès ain­si que sur le type et l’é­ten­due des accès ;
h. aux mesu­res pri­ses pour mini­mi­ser les données ;
i. sur les pro­cé­du­res de trai­te­ment des don­nées, notam­ment les pro­cé­du­res d’en­re­gi­stre­ment, de rec­ti­fi­ca­ti­on, de com­mu­ni­ca­ti­on, de con­ser­va­ti­on, d’ar­chivage, de pseud­ony­mi­sa­ti­on, d’an­ony­mi­sa­ti­on et d’effa­ce­ment ou de destruction ;
j. sur la pro­cé­du­re à sui­v­re pour exer­cer le droit d’ac­cès et le droit d’ob­te­nir ou de trans­mett­re des données.
3 La per­son­ne pri­vée doit actua­li­ser régu­liè­re­ment le règle­ment et le mett­re à la dis­po­si­ti­on du con­seil­ler à la pro­tec­tion des don­nées sous une for­me com­pré­hen­si­ble pour ce dernier.


Art. 5 Règle­ment de trai­te­ment des orga­nes fédéraux

1 L’or­ga­ne fédé­ral responsable et ses sous-trai­tants éta­blis­sent un règle­ment de trai­te­ment pour les trai­te­ments auto­ma­ti­sés lorsqu’ils :

a. trai­tent des don­nées per­son­nel­les sensibles ;
b. pro­cé­der à un profilage ;
c. effec­tu­ent des trai­te­ments de don­nées au sens de l’ar­tic­le 34, ali­néa 2, lett­re c LPD ;
d. Les can­tons, les auto­ri­tés étran­gè­res, les orga­ni­sa­ti­ons inter­na­tio­na­les ou les per­son­nes pri­vées auront accès à des don­nées personnelles ;
e. reli­er des bases de don­nées ent­re elles ; ou
f. exploi­ter un système d’in­for­ma­ti­on ou gérer des bases de don­nées en col­la­bo­ra­ti­on avec d’aut­res orga­nes fédéraux.
2 Le règle­ment doit con­te­nir au moins les indi­ca­ti­ons visées à l’art. 4, al. 2.
3 L’or­ga­ne fédé­ral responsable doit actua­li­ser régu­liè­re­ment le règle­ment et le mett­re à la dis­po­si­ti­on du con­seil­ler à la pro­tec­tion des don­nées sous une for­me com­pré­hen­si­ble pour ce der­nier, ain­si que du Pré­po­sé fédé­ral à la pro­tec­tion des don­nées et à la trans­pa­rence (PFPDT) sur demande.

Sec­tion 2 Trai­te­ment par les sous-traitants

Art. 6 Modalités

1 Le responsable qui con­fie le trai­te­ment de don­nées per­son­nel­les à un sous-trai­tant reste responsable de la pro­tec­tion des don­nées. Il doit s’assurer que les don­nées sont trai­tées con­for­mé­ment au cont­rat ou à la loi.
2 Si le sous-trai­tant n’est pas sou­mis à la LPD, le responsable doit s’assurer que d’aut­res dis­po­si­ti­ons léga­les garan­tis­sent une pro­tec­tion des don­nées équi­va­len­te. Dans le cas con­trai­re, il doit l’assurer par voie contractuelle.
3 Si le responsable est un orga­ne fédé­ral, le sous-trai­tant peut con­fier le trai­te­ment des don­nées à un tiers si l’or­ga­ne fédé­ral l’a auto­ri­sé par écrit.


Art. 7 Infor­ma­ti­on au con­seil­ler à la pro­tec­tion des don­nées de l’or­ga­ne fédéral


L’or­ga­ne fédé­ral infor­me immé­dia­te­ment le con­seil­ler à la pro­tec­tion des don­nées de la con­clu­si­on d’un cont­rat avec un sous-trai­tant ou de l’au­to­ri­sa­ti­on de trans­fé­rer le trai­te­ment des don­nées à un tiers. Il infor­me éga­le­ment le con­seil­ler à la pro­tec­tion des don­nées en cas de pro­blè­mes de respect des dis­po­si­ti­ons léga­les ou con­trac­tu­el­les en matiè­re de pro­tec­tion des données.

Sec­tion 3 Com­mu­ni­ca­ti­on de don­nées per­son­nel­les à l’étranger

Art. 8 Éva­lua­ti­on du carac­tère adé­quat de la pro­tec­tion des don­nées d’un État étran­ger ou d’un orga­ne international

1 Lorsque des don­nées per­son­nel­les sont com­mu­ni­quées à l’étran­ger, les critères sui­vants doi­vent notam­ment être pris en comp­te pour déter­mi­ner si un État, un ter­ri­toire, un ou plu­sieurs sec­teurs spé­ci­fi­ques dans un État ou un orga­ne inter­na­tio­nal assu­re une pro­tec­tion adé­qua­te des données :

a. les obli­ga­ti­ons inter­na­tio­na­les de l’É­tat ou de l’in­sti­tu­ti­on inter­na­tio­na­le en matiè­re de pro­tec­tion des données ;
b. le respect des droits de l’homme ;
c. la légis­la­ti­on en vigueur en matiè­re de pro­tec­tion des don­nées ain­si que sa mise en œuvre et la juris­pru­dence pertinente ;
d. la garan­tie effec­ti­ve des droits des per­son­nes con­cer­nées et de la pro­tec­tion juridique ;
e. le fonc­tion­ne­ment effec­tif d’u­ne ou de plu­sieurs auto­ri­tés indé­pen­dan­tes char­gées de la pro­tec­tion des don­nées dans l’É­tat con­cer­né ou pla­cées sous l’au­to­ri­té d’un orga­ne inter­na­tio­nal et dotées de pou­voirs et de com­pé­ten­ces suffisants.
2 Lors de l’éva­lua­ti­on, les appré­cia­ti­ons d’or­ga­nes inter­na­ti­on­aux ou d’au­to­ri­tés étran­gè­res com­pé­ten­tes en matiè­re de pro­tec­tion des don­nées peu­vent être pri­ses en compte.
3 L’a­dé­qua­ti­on de la pro­tec­tion des don­nées de l’É­tat, du ter­ri­toire, des sec­teurs spé­ci­fi­ques dans un État ou de l’in­sti­tu­ti­on inter­na­tio­na­le con­cer­nés est rééva­luée périodiquement.
4 S’il res­sort d’u­ne éva­lua­ti­on selon l’al. 3 ou des infor­ma­ti­ons dis­po­ni­bles qu’un Etat, un ter­ri­toire, un ou plu­sieurs sec­teurs spé­ci­fi­ques dans un Etat ou un orga­ne inter­na­tio­nal n’assu­re plus une pro­tec­tion adé­qua­te des don­nées, la décis­i­on est modi­fi­ée, sus­pen­due ou annulée con­for­mé­ment à l’art. 16, al. 1, LPD. Cet­te nou­vel­le décis­i­on n’a aucun effet sur les com­mu­ni­ca­ti­ons de don­nées déjà effectuées.
5 Les États, ter­ri­toires, sec­teurs spé­ci­fi­ques dans un État et orga­nes inter­na­ti­on­aux dis­po­sant d’u­ne pro­tec­tion adé­qua­te des don­nées sont énu­mé­rés à l’an­ne­xe 1.
6 Le PFPDT est con­sul­té avant tou­te décis­i­on rela­ti­ve à l’a­dé­qua­ti­on de la pro­tec­tion des données.


Art. 9 Clau­ses de pro­tec­tion des don­nées et garan­ties spécifiques

1 Les clau­ses de pro­tec­tion des don­nées figu­rant dans un cont­rat au sens de l’art. 16, al. 2, let. b, LPD et les garan­ties spé­ci­fi­ques au sens de l’art. 16, al. 2, let. c, LPD doi­vent rég­ler au moins les points suivants :

a. l’ap­pli­ca­ti­on des prin­cipes de léga­li­té, de bon­ne foi, de pro­por­ti­on­na­li­té, de fina­li­té et d’exactitude ;
b. les caté­go­ries de don­nées per­son­nel­les com­mu­ni­quées ain­si que les per­son­nes concernées ;
c. la natu­re et le but de la com­mu­ni­ca­ti­on des don­nées personnelles ;
d. les noms des États vers les­quels les don­nées per­son­nel­les sont communiquées ;
e. les noms des orga­nes inter­na­ti­on­aux aux­quels les don­nées per­son­nel­les sont communiquées ;
f. les exi­gen­ces en matiè­re de con­ser­va­ti­on, d’effa­ce­ment et de des­truc­tion des don­nées personnelles ;
g. les desti­na­tai­res auto­ri­sés à trai­ter les données ;
h. les mesu­res pri­ses pour garan­tir la sécu­ri­té des données ;
i. les exi­gen­ces rela­ti­ves à la com­mu­ni­ca­ti­on de don­nées per­son­nel­les à un aut­re Etat étran­ger ou à un aut­re orga­ne international ;
j. l’ob­li­ga­ti­on pour le desti­na­tai­re d’in­for­mer les per­son­nes con­cer­nées du traitement ;

k. les droits de la per­son­ne con­cer­née, à savoir :

1 . le droit d’accès,
2 . le droit d’opposition,
3 . le droit de rec­ti­fi­ca­ti­on, d’effa­ce­ment ou de des­truc­tion de leurs données,
4 . le droit de deman­der une pro­tec­tion juri­di­que à une auto­ri­té indépendante.
2 Le responsable doit prend­re des mesu­res appro­priées pour s’assurer que le desti­na­tai­re respec­te les clau­ses de pro­tec­tion des don­nées figu­rant dans un cont­rat ou les garan­ties spécifiques.

3 Si le PFPDT a été infor­mé des clau­ses de pro­tec­tion des don­nées dans un cont­rat ou des garan­ties spé­ci­fi­ques, l’ob­li­ga­ti­on d’in­for­ma­ti­on est con­sidé­rée com­me rem­plie pour tou­te com­mu­ni­ca­ti­on ulté­ri­eu­re qui :

a. sont effec­tuées sous les mêmes clau­ses de pro­tec­tion des don­nées ou garan­ties, pour autant que les caté­go­ries de desti­na­tai­res, la fina­li­té du trai­te­ment et les caté­go­ries de don­nées restent pour l’e­s­sen­tiel inchan­gées ; ou
b. avoir lieu au sein de la même per­son­ne mora­le ou socié­té, ou ent­re des ent­re­pri­ses appar­tenant au même grou­pe, dans la mesu­re où les clau­ses de pro­tec­tion des don­nées ou les garan­ties con­ti­nuent d’assurer une pro­tec­tion appro­priée des données.


Art. 10 Clau­ses stan­dard de pro­tec­tion des données

1 Si le responsable com­mu­ni­que des don­nées per­son­nel­les à l’étran­ger au moy­en de clau­ses stan­dard de pro­tec­tion des don­nées selon l’art. 16, al. 2, let. d, LPD, il prend des mesu­res appro­priées pour s’assurer que le desti­na­tai­re les respecte.
2 Le PFPDT publie une liste des clau­ses stan­dard de pro­tec­tion des don­nées qu’il a approu­vées, déli­v­rées ou reconnues.


Art. 11 Règles inter­nes à l’entre­pri­se con­traignan­tes en matiè­re de pro­tec­tion des données

1 Les pre­scrip­ti­ons inter­nes con­traignan­tes en matiè­re de pro­tec­tion des don­nées au sens de l’art. 16, al. 2, let. e, LPD s’ap­pli­quent à tou­tes les ent­re­pri­ses qui font par­tie du même groupe.

2 Elles com­pren­nent au moins les élé­ments visés à l’ar­tic­le 9, para­gra­phe 1, ain­si que les infor­ma­ti­ons suivantes :

a. l’or­ga­ni­sa­ti­on et les coor­don­nées du grou­pe et de ses entreprises ;
b. les mesu­res pri­ses au sein du grou­pe pour garan­tir le respect des dis­po­si­ti­ons con­traignan­tes inter­nes à l’entre­pri­se en matiè­re de pro­tec­tion des données.


Art. 12 Codes de con­duite et certifications

1 Les don­nées per­son­nel­les peu­vent être com­mu­ni­quées à l’étran­ger si un code de con­duite ou une cer­ti­fi­ca­ti­on garan­tis­sent une pro­tec­tion des don­nées appropriée.
2 Le code de con­duite con­ti­ent au moins les indi­ca­ti­ons visées à l’art. 9, al. 1, et doit être pré­ala­blem­ent approu­vé par le PFPDT.
3 Le code de con­duite ou la cer­ti­fi­ca­ti­on doit être assorti(e) d’un enga­ge­ment con­traignant et exé­cu­toire du responsable du trai­te­ment ou du sous-trai­tant dans l’É­tat tiers à appli­quer les mesu­res qu’il contient.

Cha­pit­re 2 Obli­ga­ti­ons du responsable du trai­te­ment et du sous-traitant

Art. 13 Moda­li­tés de l’ob­li­ga­ti­on d’information

1 Le responsable du trai­te­ment et le sous-trai­tant com­mu­ni­quent les infor­ma­ti­ons rela­ti­ves à la coll­ec­te des don­nées per­son­nel­les sous une for­me pré­cise, com­pré­hen­si­ble et aisé­ment accessible.
2 S’il com­mu­ni­que les infor­ma­ti­ons en com­bi­nai­son avec des pic­to­gram­mes qui sont pré­sen­tés de maniè­re élec­tro­ni­que, ceux-ci doi­vent être lisi­bles par une machine.


Art. 14 Devoir d’in­for­ma­ti­on des orga­nes fédé­raux lors de la coll­ec­te sys­té­ma­tique de don­nées personnelles


Si la per­son­ne con­cer­née n’est pas tenue de four­nir des rens­eig­ne­ments, l’or­ga­ne fédé­ral responsable lui indi­que, en cas de coll­ec­te sys­té­ma­tique de don­nées per­son­nel­les, notam­ment au moy­en d’un que­sti­on­n­aire, que la com­mu­ni­ca­ti­on des rens­eig­ne­ments est facultative.

Art. 15 Infor­ma­ti­on lors de la com­mu­ni­ca­ti­on de don­nées personnelles


Le responsable du trai­te­ment et le sous-trai­tant infor­ment le desti­na­tai­re de l’ac­tua­li­té, de la fia­bi­li­té et de l’ex­haus­ti­vi­té des don­nées per­son­nel­les qu’ils lui ont com­mu­ni­quées, dans la mesu­re où ces infor­ma­ti­ons ne res­sortent pas des don­nées elles-mêmes ou des circonstances.

Art. 16 Infor­ma­ti­on sur la rec­ti­fi­ca­ti­on, l’effa­ce­ment ou la des­truc­tion ain­si que sur la limi­ta­ti­on du trai­te­ment des don­nées personnelles


Le responsable infor­me sans délai les desti­na­tai­res aux­quels il a com­mu­ni­qué des don­nées per­son­nel­les de la rec­ti­fi­ca­ti­on, de l’effa­ce­ment ou de la des­truc­tion ain­si que de la limi­ta­ti­on du trai­te­ment de don­nées per­son­nel­les, à moins que cet­te noti­fi­ca­ti­on ne soit impos­si­ble ou n’en­traî­ne des efforts disproportionnés.

Art. 17 Réex­amen d’u­ne décis­i­on indi­vi­du­el­le automatisée


Si une per­son­ne con­cer­née par une décis­i­on indi­vi­du­el­le auto­ma­ti­sée deman­de à pou­voir expri­mer son point de vue ou à ce qu’u­ne per­son­ne phy­si­que réex­ami­ne la décis­i­on, elle ne doit pas être désa­van­ta­gée pour autant.

Art. 18 For­me et con­ser­va­ti­on de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des données


Le responsable doit con­si­gner par écrit l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées. Elle doit être con­ser­vée pen­dant deux ans après la fin du trai­te­ment des données.

Art. 19 Noti­fi­ca­ti­on des vio­la­ti­ons de la sécu­ri­té des données

1 Le responsable annon­ce au PFPDT tou­te vio­la­ti­on de la sécu­ri­té des données :

a. la natu­re de la blessure ;
b. dans la mesu­re du pos­si­ble, la date et la durée ;
c. dans la mesu­re du pos­si­ble, les caté­go­ries et le nombre appro­xi­ma­tif de don­nées per­son­nel­les concernées ;
d. dans la mesu­re du pos­si­ble, les caté­go­ries et le nombre appro­xi­ma­tif de per­son­nes concernées ;
e. les con­sé­quen­ces, y com­pris les ris­ques éven­tuels, pour les per­son­nes concernées ;
f. quel­les mesu­res ont été pri­ses ou sont pré­vues pour remé­dier à la défi­ci­ence ou en atté­nuer les conséquences ;
g. le nom et les coor­don­nées d’u­ne per­son­ne de contact.
2 Si, lors de la décou­ver­te de la vio­la­ti­on de la sécu­ri­té des don­nées, le responsable n’est pas en mesu­re de four­nir au PFPDT tou­tes les infor­ma­ti­ons visées à l’al. 1 en même temps, il peut four­nir ces infor­ma­ti­ons pro­gres­si­ve­ment, sans retard sup­p­lé­men­tai­re injustifié.
3 Le responsable com­mu­ni­que aux per­son­nes con­cer­nées, dans un lan­ga­ge simp­le et com­pré­hen­si­ble, au moins les infor­ma­ti­ons visées au para­gra­phe 1, points a), e), f) et g).
4 Si le responsable est un orga­ne fédé­ral, la noti­fi­ca­ti­on au PFPDT se fait par l’in­ter­mé­di­ai­re du con­seil­ler à la pro­tec­tion des données.
5 Le responsable doit docu­men­ter les vio­la­ti­ons. La docu­men­ta­ti­on doit con­te­nir tous les faits en rap­port avec les inci­dents, leurs con­sé­quen­ces et les mesu­res pri­ses. Elle doit être con­ser­vée pen­dant au moins trois ans à comp­ter de la date de la noti­fi­ca­ti­on visée au para­gra­phe 1.

Cha­pit­re 3 Droits de la per­son­ne concernée

Sec­tion 1 Droit d’accès

Art. 20 Modalités

1 La deman­de de rens­eig­ne­ments est for­mulée par écrit. Si le responsable est d’ac­cord, la deman­de peut éga­le­ment être fai­te oralement.
2 En règ­le géné­ra­le, l’in­for­ma­ti­on est four­nie par écrit. En accord avec le responsable du trai­te­ment ou sur pro­po­si­ti­on de celui-ci, la per­son­ne con­cer­née peut éga­le­ment con­sul­ter ses don­nées sur place. L’in­for­ma­ti­on peut éga­le­ment être four­nie ora­le­ment si la per­son­ne con­cer­née y a consenti.
3 Les rens­eig­ne­ments doi­vent être com­pré­hen­si­bles pour la per­son­ne concernée.
4 Le responsable du trai­te­ment doit prend­re les mesu­res appro­priées pour garan­tir l’i­den­ti­fi­ca­ti­on de la per­son­ne con­cer­née et pour pro­té­ger les don­nées per­son­nel­les de la per­son­ne con­cer­née cont­re l’ac­cès de tiers non auto­ri­sés lors de la com­mu­ni­ca­ti­on des infor­ma­ti­ons. La per­son­ne con­cer­née doit coopé­rer à son identification.
5 Le responsable doit docu­men­ter les rai­sons d’un refus, d’u­ne limi­ta­ti­on ou d’un report de l’ac­cès. La docu­men­ta­ti­on doit être con­ser­vée pen­dant au moins trois ans.


Art. 21 Compétence

1 Si plu­sieurs per­son­nes sont respons­ables du trai­te­ment de don­nées per­son­nel­les, la per­son­ne con­cer­née peut fai­re valoir son droit d’ac­cès auprès de chaque responsable du traitement.
2 Si un responsable n’est pas com­pé­tent pour trai­ter la deman­de, il la trans­met au responsable compétent.
3 Si la deman­de con­cer­ne des don­nées trai­tées par un sous-trai­tant, le responsable du trai­te­ment trans­met la deman­de au sous-trai­tant, à moins qu’il ne soit lui-même en mesu­re de four­nir des informations.


Art. 22 Délai

1 L’in­for­ma­ti­on est four­nie dans un délai de 30 jours à comp­ter de la récep­ti­on de la deman­de. Si le responsable refu­se, limi­te ou repor­te l’ac­cès, il doit le fai­re savoir dans le même délai.
2 Si l’in­for­ma­ti­on ne peut être four­nie dans un délai de 30 jours, le responsable doit en infor­mer la per­son­ne con­cer­née et lui indi­quer le délai dans lequel l’in­for­ma­ti­on sera fournie.


Art. 23 Excep­ti­ons à la gratuité

1 Une par­ti­ci­pa­ti­on équi­ta­ble aux frais peut être exi­gée lorsque la com­mu­ni­ca­ti­on de rens­eig­ne­ments ent­raî­ne un tra­vail disproportionné.
2 La par­ti­ci­pa­ti­on s’é­lè­ve à 300 francs au maximum.
3 La per­son­ne con­cer­née doit être infor­mée du mon­tant de la par­ti­ci­pa­ti­on avant la com­mu­ni­ca­ti­on des infor­ma­ti­ons et peut reti­rer sa deman­de dans un délai de dix jours.

Sec­tion 2 Droit à l’é­di­ti­on ou à la trans­mis­si­on de données

Art. 24


Les artic­les 20, para­gra­phes 1, 4 et 5, ain­si que 21, 22 et 23 s’ap­pli­quent par ana­lo­gie au droit d’é­di­ti­on et de trans­mis­si­on de don­nées et à leurs restrictions.

Cha­pit­re 4 Dis­po­si­ti­ons par­ti­cu­liè­res rela­ti­ves au trai­te­ment des don­nées par des per­son­nes privées

Art. 25 Con­seil­ler à la pro­tec­tion des données

1 Le con­seil­ler à la pro­tec­tion des don­nées d’un responsable pri­vé doit assu­mer les tâches suivantes :

a. Il ou elle con­trô­le le trai­te­ment des don­nées per­son­nel­les ain­si que ses con­di­ti­ons et recom­man­de des mesu­res cor­rec­ti­ves s’il ou elle con­sta­te que les pre­scrip­ti­ons en matiè­re de pro­tec­tion des don­nées ont été violées.
b. Il ou elle par­ti­ci­pe à l’é­la­bo­ra­ti­on de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées et la véri­fie, en tout cas lorsque le responsable pri­vé sou­hai­te renon­cer à la con­sul­ta­ti­on du PFPDT au sens de l’art. 23 al. 4 LPD.

2 Le responsable pri­vé doit infor­mer le con­seil­ler à la pro­tec­tion des données :

a. mett­re à dis­po­si­ti­on les res­sour­ces nécessaires ;
b. don­ner accès à tous les rens­eig­ne­ments, docu­ments, regi­stres des acti­vi­tés de trai­te­ment et don­nées per­son­nel­les dont elle ou il a beso­in pour accom­plir ses tâches.


Art. 26 Déro­ga­ti­on à l’ob­li­ga­ti­on de tenir un regist­re des acti­vi­tés de traitement


Les ent­re­pri­ses et aut­res orga­ni­sa­ti­ons de droit pri­vé qui emploi­ent moins de 250 per­son­nes au début d’u­ne année, ain­si que les per­son­nes phy­si­ques, sont exemp­tées de l’ob­li­ga­ti­on de tenir un regist­re des acti­vi­tés de trai­te­ment, sauf si l’u­ne des con­di­ti­ons sui­van­tes est rem­plie :
a. Un grand nombre de don­nées per­son­nel­les sen­si­bles sont traitées.
b. Un pro­fi­la­ge à haut ris­que est effectué.

Cha­pit­re 5 Dis­po­si­ti­ons par­ti­cu­liè­res rela­ti­ves au trai­te­ment des don­nées par les orga­nes fédéraux

Sec­tion 1 Con­seil­ler à la pro­tec­tion des données

Art. 27 Nomination


Chaque orga­ne fédé­ral nom­me un con­seil­ler à la pro­tec­tion des don­nées. Plu­sieurs orga­nes fédé­raux peu­vent nom­mer ensem­ble un con­seil­ler à la pro­tec­tion des données.

Art. 28 Exi­gen­ces et tâches

1 Le con­seil­ler à la pro­tec­tion des don­nées doit satis­fai­re aux exi­gen­ces suivantes :

a. Il ou elle dis­po­se des con­nais­sances tech­ni­ques nécessaires.
b. Il ou elle exer­ce sa fonc­tion vis-à-vis de l’or­ga­ne fédé­ral de maniè­re pro­fes­si­on­nel­le­ment indé­pen­dan­te et sans rece­voir d’instructions.

2 Il ou elle doit s’ac­quit­ter des tâches suivantes :

a. Il ou elle con­trô­le le trai­te­ment des don­nées per­son­nel­les ain­si que ses con­di­ti­ons et recom­man­de des mesu­res cor­rec­ti­ves s’il ou elle con­sta­te que les pre­scrip­ti­ons en matiè­re de pro­tec­tion des don­nées ont été violées.
b. Il ou elle par­ti­ci­pe à l’é­la­bo­ra­ti­on de l’ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées et la vérifie.
c. Il ou elle signa­le au PFPDT les vio­la­ti­ons de la sécu­ri­té des données.
d. Il ou elle sert de point de cont­act pour les per­son­nes concernées.
f. Il ou elle for­me et con­seil­le l’or­ga­ne fédé­ral ain­si que ses col­la­bo­ra­teurs et col­la­bora­tri­ces sur les que­sti­ons de pro­tec­tion des données.


Art. 29 Obli­ga­ti­ons de l’or­ga­ne fédéral

1 L’or­ga­ne fédé­ral don­ne au con­seil­ler à la pro­tec­tion des don­nées accès à tous les rens­eig­ne­ments, docu­ments, listes des acti­vi­tés de trai­te­ment et don­nées per­son­nel­les dont il a beso­in pour accom­plir ses tâches.
2 Il publie sur Inter­net les coor­don­nées du con­seil­ler à la pro­tec­tion des don­nées et les com­mu­ni­que au PFPDT.


Art. 30 Point de cont­act du PFPDT


Le con­seil­ler à la pro­tec­tion des don­nées sert de point de cont­act au PFPDT pour les que­sti­ons liées au trai­te­ment de don­nées per­son­nel­les par l’or­ga­ne fédé­ral concerné.

Sec­tion 2 Pro­jets de trai­te­ment auto­ma­ti­sé de don­nées per­son­nel­les par des orga­nes fédéraux

Art. 31 Infor­ma­ti­on au con­seil­ler à la pro­tec­tion des données


L’or­ga­ne fédé­ral responsable infor­me le con­seil­ler à la pro­tec­tion des don­nées à temps, lors de la pla­ni­fi­ca­ti­on d’un pro­jet de trai­te­ment auto­ma­ti­sé de don­nées per­son­nel­les ain­si qu’en cas d’ad­ap­t­ati­ons après la fin du pro­jet, afin que les exi­gen­ces de la pro­tec­tion des don­nées soi­ent immé­dia­te­ment pri­ses en compte.

Art. 32 Com­mu­ni­ca­ti­on au PFPDT

1 L’or­ga­ne fédé­ral responsable annon­ce au PFPDT les acti­vi­tés de trai­te­ment auto­ma­ti­sé pré­vues au moment de la vali­da­ti­on du pro­jet ou de la décis­i­on de déve­lo­p­pe­ment du pro­jet. Le PFPDT inscrit cet­te annon­ce dans le regist­re des acti­vi­tés de traitement.
2 La décla­ra­ti­on doit con­te­nir les infor­ma­ti­ons visées à l’art. 12, al. 2, let. a à d, LPD, ain­si que la date pro­ba­ble du début des acti­vi­tés de traitement.
3 L’or­ga­ne fédé­ral responsable met à jour la décla­ra­ti­on lors du pas­sa­ge à l’ex­plo­ita­ti­on pro­duc­ti­ve ou lors de l’ar­rêt du projet.

Sec­tion 3 Essais pilotes

Art. 33 Carac­tère indis­pensable de la pha­se de test


Une pha­se de test en tant qu’­expé­ri­ence pilo­te est indis­pensable si l’u­ne des con­di­ti­ons sui­van­tes est rem­plie :
a. L’ac­com­plis­se­ment d’u­ne tâche néces­si­te des inno­va­tions tech­ni­ques dont l’im­pact doit d’a­bord être évalué.
b. L’ac­com­plis­se­ment d’u­ne tâche néces­si­te des mesu­res orga­ni­sa­ti­on­nel­les ou tech­ni­ques importan­tes, dont l’ef­fi­ca­ci­té doit d’a­bord être véri­fi­ée, notam­ment en ce qui con­cer­ne la col­la­bo­ra­ti­on ent­re les orga­nes de la Con­fé­dé­ra­ti­on et des cantons.
c. L’ac­com­plis­se­ment des tâches exi­ge que les don­nées per­son­nel­les soi­ent ren­dues acce­s­si­bles au moy­en d’u­ne pro­cé­du­re d’appel.


Art. 34 Autorisation

1 Avant de con­sul­ter les unités admi­ni­stra­ti­ves inté­res­sées, l’or­ga­ne fédé­ral responsable du pro­jet pilo­te expo­se à l’in­ten­ti­on du PFPDT la maniè­re dont le respect des exi­gen­ces visées à l’art. 35 LPD sera assu­ré et l’in­vi­te à prend­re position.

2 Le PFPDT se pro­non­ce sur la que­sti­on de savoir si les con­di­ti­ons d’au­to­ri­sa­ti­on visées à l’art. 35 LPD sont rem­plies. L’or­ga­ne fédé­ral com­pé­tent met à sa dis­po­si­ti­on tous les docu­ments néces­saires à cet effet, en particulier

a. une descrip­ti­on géné­ra­le du pro­jet pilote ;
b. un rap­port démon­trant que l’ac­com­plis­se­ment des tâches pré­vues par la loi néces­si­te le trai­te­ment au sens de l’ar­tic­le 34, 2e ali­néa, LPD et qu’u­ne pha­se de test avant l’en­trée en vigueur de la loi est indis­pensable au sens for­mel (artic­le 35, 1er ali­néa, lett­re c, LPD) ;
c. une descrip­ti­on de l’or­ga­ni­sa­ti­on inter­ne et des pro­cé­du­res de trai­te­ment et de con­trô­le des données ;
d. une descrip­ti­on des mesu­res de sécu­ri­té et de pro­tec­tion des données ;
e. le pro­jet d’or­don­nan­ce réglant les détails du trai­te­ment ou le con­cept d’ordonnance
f. les infor­ma­ti­ons con­cer­nant la pla­ni­fi­ca­ti­on des dif­fé­ren­tes pha­ses de l’expé­ri­ence pilote.
3 Le PFPDT peut deman­der d’aut­res docu­ments et pro­cé­der à des inve­sti­ga­ti­ons supplémentaires.
4 L’or­ga­ne fédé­ral com­pé­tent infor­me le PFPDT de tou­te modi­fi­ca­ti­on importan­te con­cer­nant le respect des exi­gen­ces de l’ar­tic­le 35 LPD. Si néces­saire, le PFPDT prend à nou­veau position.
5 L’a­vis du PFPDT doit être joint à la deman­de adres­sée au Con­seil fédéral.
6 Les moda­li­tés du trai­te­ment auto­ma­ti­sé des don­nées sont régies par une ordonnance.


Art. 35 Rap­port d’évaluation


L’or­ga­ne fédé­ral com­pé­tent sou­met au PFPDT, pour avis, le pro­jet de rap­port d’éva­lua­ti­on desti­né au Con­seil fédé­ral. L’a­vis du PFPDT est por­té à la con­nais­sance du Con­seil fédéral.

Sec­tion 4 Trai­te­ment des don­nées à des fins ne se rap­portant pas à des personnes

Art. 36


Si des don­nées per­son­nel­les sont trai­tées à des fins ne se rap­portant pas à des per­son­nes, notam­ment la recher­che, la pla­ni­fi­ca­ti­on et la sta­ti­stique, et en même temps à une aut­re fin, les excep­ti­ons pré­vues à l’art. 39, al. 2, LPD ne s’ap­pli­quent qu’au trai­te­ment effec­tué à des fins ne se rap­portant pas à des personnes.

Cha­pit­re 6 Pré­po­sé fédé­ral à la pro­tec­tion des don­nées et à la transparence

Art. 37 Siè­ge et secré­ta­ri­at permanent

1 Le siè­ge du PFPDT se trouve à Berne.
2 La légis­la­ti­on sur le per­son­nel de la Con­fé­dé­ra­ti­on s’ap­pli­que aux rap­ports de tra­vail des employés du secré­ta­ri­at per­ma­nent du PFPDT. Les employés du secré­ta­ri­at per­ma­nent du PFPDT sont assu­rés cont­re les con­sé­quen­ces éco­no­mi­ques de la vieil­les­se, de l’in­va­li­di­té et du décès auprès de la Caisse fédé­ra­le de pen­si­ons PUBLICA, dans le cad­re de la caisse de pré­voy­an­ce de la Confédération.


Art. 38 Voie de communication

1 Le PFPDT com­mu­ni­que avec le Con­seil fédé­ral par l’in­ter­mé­di­ai­re du chan­ce­lier ou de la chan­ce­liè­re de la Con­fé­dé­ra­ti­on. Celui-ci trans­met les pro­po­si­ti­ons, avis et rap­ports au Con­seil fédé­ral sans les modifier.
2 Il sou­met des rap­ports à l’As­sem­blée fédé­ra­le par l’in­ter­mé­di­ai­re des Ser­vices du Parlement.


Art. 39 Com­mu­ni­ca­ti­on de direc­ti­ves et de décisions

1 Les dépar­te­ments et la Chan­cel­le­rie fédé­ra­le com­mu­ni­quent au PFPDT leurs direc­ti­ves en matiè­re de pro­tec­tion des don­nées ain­si que leurs décis­i­ons sous une for­me anonyme.
2 Les orga­nes fédé­raux sou­met­tent au PFPDT tous les pro­jets légis­la­tifs qui con­cer­nent le trai­te­ment de don­nées per­son­nel­les, la pro­tec­tion des don­nées et l’ac­cès aux docu­ments officiels.


Art. 40 Trai­te­ment des don­nées personnelles


Le PFPDT trai­te des don­nées per­son­nel­les, y com­pris des don­nées per­son­nel­les sen­si­bles, notam­ment dans les buts sui­vants :
a. pour exer­cer ses acti­vi­tés de surveillance ;
b. pour enquêter sur les vio­la­ti­ons des règles de pro­tec­tion des données ;
c. pour for­mer et con­seil­ler les orga­nes fédé­raux et les per­son­nes privées ;
d. à la col­la­bo­ra­ti­on avec les auto­ri­tés fédé­ra­les, can­to­na­les et étrangères ;
e. pour la mise en œuvre de pro­cé­du­res de média­ti­on et d’éva­lua­ti­on con­for­mé­ment à la loi fédé­ra­le du 17 décembre 2004 2 sur le prin­ci­pe de la trans­pa­rence dans l’ad­mi­ni­stra­ti­on (LTrans) ;
f. pour répond­re aux que­sti­ons des citoyens.


Art. 41 Autocontrôle

1 Le PFPDT éta­blit un règle­ment de trai­te­ment pour tous les trai­te­ments auto­ma­ti­sés. L’ar­tic­le 5, para­gra­phe 1, n’est pas applicable.
2 Il pré­voit des pro­ce­s­sus inter­nes qui garan­tis­sent que les trai­te­ments sont effec­tués con­for­mé­ment au règle­ment de trai­te­ment. Il véri­fie chaque année que le règle­ment de trai­te­ment est respecté.


Art. 42 Coopé­ra­ti­on avec le Cent­re natio­nal de cyber­sé­cu­ri­té (NCSC)

1 Le PFPDT peut trans­mett­re les infor­ma­ti­ons rela­ti­ves à la noti­fi­ca­ti­on d’u­ne vio­la­ti­on de la sécu­ri­té des don­nées au NCSC afin d’ana­ly­ser l’in­ci­dent. Le PFPDT doit obte­nir au pré­alable l’ac­cord du responsable de la notification.
2 Il invi­te le NCSC à prend­re posi­ti­on avant d’or­don­ner à un orga­ne fédé­ral une mesu­re au sens de l’art. 51, al. 3, let. b, LPD con­cer­nant la sécu­ri­té des données.


Art. 43 Regist­re des acti­vi­tés de trai­te­ment des orga­nes fédéraux

1 Le regist­re des acti­vi­tés de trai­te­ment des orga­nes fédé­raux con­ti­ent les infor­ma­ti­ons four­nies par les orga­nes fédé­raux et leurs sous-trai­tants con­for­mé­ment à l’art. 12, al. 2 et 3, LPD et à l’art. 32, al. 2, de la pré­sen­te ordonnance.
2 Il est publié sur l’in­ter­net. Ne sont pas publiées les inscrip­ti­ons au regist­re rela­ti­ves aux acti­vi­tés de trai­te­ment auto­ma­ti­sé envi­sa­gées visées à l’ar­tic­le 32.


Art. 44 Codes de conduite


Lorsqu’un code de con­duite est sou­mis au PFPDT, celui-ci indi­que dans son avis si le code de con­duite rem­plit les con­di­ti­ons fixées à l’art. 22, al. 5, let. a et b, LPD.

Art. 45 Emoluments

1 Les émo­lu­men­ts fac­tu­rés par le PFPDT sont cal­culés en fonc­tion du temps consacré.
2 Un tarif horai­re de 150 à 350 francs est appli­qué. Celui-ci dépend de la com­ple­xi­té de l’af­fai­re et de la fonc­tion de la per­son­ne char­gée de la traiter.
3 Pour le reste, l’or­don­nan­ce géné­ra­le sur les émo­lu­men­ts du 8 sep­tembre 2004 3 est applicable.

Cha­pit­re 7 Dis­po­si­ti­ons finales

Art. 46 Abro­ga­ti­on et modi­fi­ca­ti­on d’aut­res actes législatifs


L’a­b­ro­ga­ti­on et la modi­fi­ca­ti­on d’aut­res actes légis­la­tifs sont réglées à l’an­ne­xe 2.

Art. 47 Dis­po­si­ti­on tran­si­toire con­cer­nant la noti­fi­ca­ti­on au PFPDT des acti­vi­tés de trai­te­ment auto­ma­ti­sé prévues


L’ar­tic­le 32 ne s’ap­pli­que pas aux acti­vi­tés de trai­te­ment auto­ma­ti­sé pla­ni­fi­ées pour les­quel­les la vali­da­ti­on du pro­jet ou la décis­i­on de déve­lo­p­pe­ment du pro­jet a déjà été pri­se au moment de l’en­trée en vigueur.

Art. 48 Entrée en vigueur


Le pré­sent règle­ment ent­re en vigueur le …

Anne­xe 1 (artic­le 8, para­gra­phe 5) États, ter­ri­toires, sec­teurs spé­ci­fi­ques dans un État et orga­nes inter­na­ti­on­aux dis­po­sant d’un niveau de pro­tec­tion des don­nées adé­quat
[…]Anne­xe 2 (artic­le 46) Abro­ga­ti­on et modi­fi­ca­ti­on d’aut­res actes légis­la­tifs
[…]