- L’ordonnance doit rester fidèle à la loi et faire preuve de retenue, et ne réglementer que les dispositions d’exécution expressément prévues par la loi révisée sur la protection des données.
- Les règles doivent être proches de la réalité et pouvoir être respectées par les entreprises, même de taille moyenne ; il faut éviter les exigences trop ambitieuses en matière de sécurité des données.
Ceux qui pensaient que l’adoption par le Parlement ouvrirait enfin la voie à l’entrée en vigueur de la loi révisée sur la protection des données se sont trompés. L’avant-projet de l’ordonnance sur la protection des données (OLPD), mis en consultation fin juin après une longue tentative, dépasse tellement l’objectif fixé que les critiques seront nombreuses lors de la consultation. Le chemin vers l’entrée en vigueur semble plus long que jamais. Presque personne ne croit encore à une entrée en vigueur avant début 2023.
C’est du déjà-vu : un projet de réglementation éloigné de la pratique qui suscite un large rejet de la part des entreprises. On se sent un peu comme Bill Murray qui, dans le film “Un jour sans fin”, revit sans cesse la même journée. Dans le film, il échappe finalement à la boucle temporelle en s’exerçant à l’humilité et en faisant le bien. On aimerait également appeler le Conseil fédéral (ou l’Office fédéral de la justice compétent) à se souvenir de ses anciennes vertus lors de la révision du projet d’ordonnance :
- Réserve et respect de la loiL’ordonnance sur la protection des données ne devrait régler que les points pour lesquels la loi révisée sur la protection des données prévoit effectivement des dispositions d’exécution au niveau de l’ordonnance : En ce qui concerne les exigences minimales en matière de sécurité des données, l’obligation de tenir un registre des traitements, les modalités du droit d’accès ainsi que certains autres points (dont beaucoup ne concernent toutefois que les traitements de données effectués par des organes fédéraux). Si l’avant-projet veut par exemple instaurer subitement un devoir d’information du sous-traitant (art. 13 AP-LPD), cela ne repose tout simplement sur aucune base légale.
- Sens des réalités: Le règlement ne devrait exiger des entreprises que ce qu’elles peuvent raisonnablement satisfaire. Et pas seulement les grands groupes financièrement puissants, mais aussi les nombreuses entreprises de taille moyenne. Les prescriptions proposées en matière de sécurité des données (art. 2 AP-LPD) ne sont par exemple pas des exigences minimales, comme l’exige en fait l’art. 8, al. 3, révisé LPD. Il s’agit plutôt d’un large éventail d’objectifs de protection ambitieux qui doivent être “atteints”. Ce qui serait encore acceptable si leur violation n’était pas punissable. Mais c’est le cas. Cela témoigne d’une faible prise de conscience de la difficulté de remplir en permanence tous ces objectifs de protection au vu des cyberrisques actuels. Il serait utile de jeter un coup d’œil au RGPD : L’article 32 du RGPD contient des dispositions raisonnables sur la sécurité des données, qui pourraient être reprises presque telles quelles.
- Le courage de lâcher priseLes règles de l’ordonnance actuelle n’ont pas besoin d’être mises à jour lorsqu’elles sont dépassées : Par exemple, le règlement de traitement (art. 4 AP-LPD). La loi révisée sur la protection des données reprend l’ensemble des nombreuses obligations de documentation du RGPD – de la liste des traitements à l’analyse d’impact sur la protection des données. Il est absurde d’exiger en plus des entreprises suisses une quelconque réglementation helvétique. Les entreprises en Suisse ne devraient pas avoir à gérer plus de documentation que les entreprises de l’EEE. Il est temps de laisser tomber les particularités suisses.
Le projet de règlement ficelle un paquet réglementaire qui, à de nombreux endroits, va encore plus loin que les exigences du RGPD. Il ignore le fait que l’intention déclarée du législateur était d’éviter de telles “finitions suisses”. Et fait généreusement abstraction du fait que les dispositions du règlement nécessitent en fait une base légale. Il s’agit maintenant de corriger cela. Le projet d’ordonnance est une une occasion manquée. Mais c’est aussi une chance de faire mieux au deuxième essai.
Matthias Glatthaar est responsable de la protection des données et chargé de la protection des données à la Fédération des coopératives Migros. Il donne son avis personnel.