PFPDT, registre, analyse d'impact et annonce de violations

Sciences de l'information · Master 1

Obligations organisationnelles de la nLPD : registre, AIPD, conseiller, annonce d'incidents.

Introduction

La nLPD ne se limite pas à des principes : elle impose aussi des obligations organisationnelles. Le responsable doit tenir un registre de ses activités de traitement, réaliser une analyse d'impact relative à la protection des données personnelles (AIPD) lorsque le traitement peut présenter un risque élevé, et annoncer les violations de la sécurité des données.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) surveille le respect de la loi, conseille et peut ouvrir des enquêtes. Pour les administrations cantonales et communales, c'est en règle générale le droit cantonal de protection des données et l'autorité cantonale qui s'appliquent (par exemple Privatim, la conférence des préposés cantonaux, coordonne leur travail).

Pour un service d'archives, une bibliothèque de la fonction publique ou un département de gestion documentaire, il faut donc savoir quel régime s'applique et mettre en place des processus concrets : inventaire des traitements, évaluation des risques, procédure d'incident.

Objectifs d'apprentissage

Distinguer le rôle du PFPDT et des autorités cantonales
Décrire le contenu et l'utilité d'un registre des traitements
Identifier quand une AIPD s'impose
Appliquer la procédure d'annonce d'une violation
Situer le conseiller à la protection des données

Concepts clés

PFPDT: Autorité fédérale de surveillance : conseille, enquête, rend des décisions.
Registre des traitements: Inventaire des activités de traitement du responsable.
AIPD: Analyse préalable lorsque le traitement peut engendrer un risque élevé.
Annonce de violation: Informer le PFPDT en cas de risque élevé pour la personnalité ou les droits fondamentaux.

Conclusion

Registre, AIPD et procédure d'incident sont les outils concrets de la conformité. Un professionnel de l'information doit savoir qui est l'autorité compétente et documenter ses traitements.

Cartes

Que signifie PFPDT ?: Préposé fédéral à la protection des données et à la transparence.
Quel régime s'applique aux organes cantonaux ?: En règle générale le droit cantonal de protection des données, sous la surveillance de l'autorité cantonale.
Qu'est-ce que Privatim ?: La conférence des préposés suisses à la protection des données, qui coordonne les positions des autorités cantonales.
À quoi sert le registre des activités de traitement ?: À documenter pour chaque traitement la finalité, les catégories de données et de personnes, les destinataires et la durée de conservation, afin de piloter la conformité.
Quand faut-il une analyse d'impact (AIPD) ?: Lorsqu'un traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux, par exemple traitement à grande échelle de données sensibles ou profilage.
Que contient une AIPD ?: La description du traitement, l'évaluation des risques pour les personnes et les mesures prévues pour les réduire.
Quand annoncer une violation de la sécurité des données ?: Dès que possible au PFPDT, lorsqu'elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée.
Quel est le rôle d'un conseiller à la protection des données ?: Former, conseiller et contrôler l'application des règles au sein de l'organisation, avec une certaine indépendance.
Les sanctions de la nLPD visent-elles l'organisation ou la personne ?: Les amendes pénales visent en principe les personnes physiques responsables, avec un plafond élevé pour certaines infractions.

Glossaire

PFPDT: Autorité fédérale chargée de surveiller la protection des données et la transparence.
Registre des activités de traitement: Document recensant les traitements de données d'une organisation.
AIPD: Analyse d'impact relative à la protection des données personnelles.
Violation de la sécurité des données: Perte, modification, divulgation ou accès non autorisé à des données.
Privatim: Conférence des préposés suisses à la protection des données.
Chiffrement: Procédé qui rend les données illisibles sans clé.