En bref

L'art. 15 LPD mentionne certaines autres obligations pour une représentation en matière de protection des données conformément à l'art. 14 LPD. La représentation doit tenir un registre des activités de traitement pour le compte du ou des responsables et communiquer les données correspondantes au PFPDT sur demande. En outre, la représentation doit fournir aux personnes concernées, sur demande, des informations sur l'exercice de leurs droits.

I. généralités

1 L'art. 15 LPD énumère certaines autres obligations du représentant à la protection des données en complément des obligations prévues à l'art. 14 al. 2 et 3 LPD (fonction de point de contact, art. 14 al. 2 LPD, et publication des coordonnées, art. 14 al. 3 LPD). L'énumération de l'art. 15 LPD n'est pas exhaustive en raison de la définition large du rôle de la représentation en tant que point de contact.

II. obligations du délégué à la protection des données

A. liste des activités de traitement (al. 1)

2 Selon le texte, le délégué à la protection des données doit tenir un registre des activités de traitement du responsable du traitement (al. 1). Cette obligation va plus loin que celle prévue à l'art. 30 al. 1 RGPD, selon laquelle le représentant de l'UE pour la protection des données ne doit tenir un registre que pour les activités de traitement qui relèvent de sa compétence. Cette obligation excessive, en tout cas nettement plus étendue que celle du RGPD, constitue probablement un oubli législatif.

3 L'exception prévue pour les entreprises de moins de 250 collaborateurs, conformément à l'art. 12 al. 5 LPD en relation avec l'art. L'art. 24 OCPD ne s'applique pas à la représentation de la protection des données. Conformément à l'art. 14 al. 1 let. a LPD, le représentant chargé de la protection des données ne doit être désigné que si le traitement effectué par le responsable présente un risque élevé, notamment pour la personnalité des personnes concernées. Cela correspond à l'approche générale de la LPD basée sur les risques, telle qu'elle est exprimée notamment à l'art. 24 OLPD.

4 Les informations contenues dans le registre doivent être conformes à l'art. 12 al. 2 LPD. Dans la pratique, le ou la responsable tiendra un registre partiel des activités de traitement qui ont un impact sur la Suisse et en fournira une copie à la représentation.

B. obligation de communiquer au PFPDT (al. 2)

5 La représentation doit communiquer au PFPDT, sur demande, les informations contenues dans l'inventaire (al. 2), même en l'absence de procédure administrative. Dans la pratique, il est probable que la représentation communique l'annuaire au PFPDT plutôt que de fournir uniquement les informations qu'il contient.

6 Cette obligation s'applique donc indépendamment de l'obligation du ou des responsables de fournir au PFPDT tous les documents nécessaires dans le cadre d'une enquête (art. 49 al. 3 LPD) et également indépendamment du pouvoir du PFPDT d'ordonner l'accès à tous les registres nécessaires des activités de traitement dans le cadre d'une enquête (art. 50 al. 1 let. a LPD).

7 Avec la représentation comme point de contact, le PFPDT n'a pas besoin de passer par la voie de l'entraide judiciaire internationale pour obtenir les données du répertoire. La représentation en Suisse ne peut communiquer que les données dont elle dispose déjà.

8 Une représentation désignée volontairement ne doit pas tenir un registre en tant que telle.

C. information des personnes concernées (al. 3)

9 En tant que point de contact (art. 14 al. 2 LPD), la représentation doit informer les personnes concernées qui en font la demande de l'exercice de leurs droits conformément aux art. 25 ss. LPD.

10 La représentation doit permettre aux personnes concernées qui en font la demande d'exercer leurs droits. La représentation doit par exemple informer les personnes concernées des coordonnées et des voies par lesquelles elles peuvent exercer leur droit d'accès (art. 25 ss LPD) auprès du responsable et leur indiquer si le ou la responsable a désigné un conseiller ou une conseillère à la protection des données (art. 10 LPD) qui peut être consulté (art. 10 al. 2 LPD).

11 Le devoir d'information du ou de la responsable concerné(e) (art. 19 ss. LPD) n'est pas affecté par l'obligation d'information de la représentation. Le ou la responsable peut en outre charger la représentation de fournir d'autres renseignements aux personnes concernées.

Bibliographie

Husi-Stämpfli Sandra, Kommentierung zu Art. 15 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, 2. Aufl., Bern 2023. (zit. SHK-Husi-Stämpfli, Art. 15 DSG).

Eidgenössisches Justiz- und Polizeidepartement, EU-Datenschutzgrundverordnung DSGVO: Erläuterungen betreffend die Pflicht zur Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 DSGVO, 4.9.2018 (zit. EJPD, Erläuterungen).

Gogniat Yves, Die Datenschutzgrundverordnung im Kontext von Art. 271 StGB, in: Jusletter vom 19.11.2018 (zit. Gogniat, Art. 271 StGB).

Rosenthal David, Das neue Datenschutzgesetz, in: Jusletter vom 16.11.2020 (zit. Rosenthal, Jusletter).