Conférence Clusis: DPO De l indépendance légale à l indépendance de l action. - Le cas du Valais - 28 octobre 2014

Transcription

1 Conférence Clusis: DPO De l indépendance légale à l indépendance de l action - Le cas du Valais - 28 octobre 2014 lic. iur. Ursula Sury, RA ancienne préposée à la protection des données et à la transparence du Canton du Valais 1

2 note de biographie lic. iur. Ursula Sury, RA Fondation et gestion du cabinet d avocat «Die Advokatur Sury AG» (depuis 1993) à Lucerne Mise en place et développement de la section «droit de l informatique et de la protection des données» à l université des sciences appliquées à Lucerne (depuis 1993) Développement et gestion du CC Management & Law à l université des sciences appliquées à Lucerne (depuis 2010) Experte de droit dans les audits de protection de données de SQS (depuis 2007) Préposée à la protection des données et à la transparence du Canton du Valais

3 Vue d ensemble 1. Les dimensions de l indépendance 2. Les attributions de la préposée 3. En bref 4. Le budget en particulier 5. Comparaison avec le champ privé 3

4 1. Les dimensions de l indépendance base légale Compétences définies par la LDIP Organisa tion Élection par le parlement Indépendance de l exécutive Devoir de rendre des comptes à la confédération et à l UE Personn el Droit à l organisation autonome administ ration Nécessité des ressources suffisantes 4

5 1. Les dimensions de l indépendance Budget Autonome Établit par l organe Présentation au parlement sans intervention de l exécutive Planificati on et le contrôle Programme d examen établit de manière autonome Compétences globales de contrôle Compétences d action Capacité d ester en justice personne Compétence professionnelle Devoir aux formations Intégrité personnelle Transparence des intérêts et activités Emploi Pour une durée fixe Sans possibilité de dissolution préalable Contrôle Des finances: par l instance de surveillance financière Des attributions: respect de l indépendance comme une cour pas d implication de l exécutive Election Par le parlement pour 4-6 ans Par l exécutive sous condition de l accord du parlement pour 6-8 ans Par l exécutive pour 8 ans ou plus. 5

6 1. Les dimensions de l indépendance Implications du droit européen La convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (préambule et Art. 1 PA) et la Directive sur la protection des données de l UE (Art. 28) exigent une autorité de contrôle indépendante La convention d application de l Accord de Schengen et la Directive sur la protection des données de l UE sont directement obligatoire pour les Cantons Les Cantons et la confédération sont obligés de rendre comptes à l UE en ce qui concerne leur respect des standards de Schengen 6

7 1. Les dimensions de l indépendance Implications du droit national 1. Droit fédéral Art. 37 II LPD 2. Droit cantonal LIPDA En particulier: Introduction du principe de la transparence 7

8 1. Les dimensions de l indépendance La dimension légale L indépendance doit être prévue par la loi de manière explicite (Art. 28 II Directive UE et préambule Convention CE/Art. 1 chiff. 3 PA) Art. 40 I LIPDA: L autorité cantonale de surveillance est indépendante dans l exercice de ses attributions. 8

9 1. Les dimensions de l indépendance La dimension d organisation en particulier ressources personnelles et financières, y compris la possibilité d engager du personnelle supplémentaire et des spécialistes (Rudin, 2007, S. 65) Etablissement du budget par la préposée ou la commission soumission au parlement décision par le parlement sans intervention de l exécutive Supervision uniquement par le parlement 9

10 2. Attributions de la préposée selon LIPDA La préposée Contrôle d office des dispositions sur la protection des données et le principe de la transparence (Art. 37 Abs. 1 lit a LIPDA) Conseille les autorités (Art. 37 Abs. 1 lit b LIPDA) Renseigne les personnes privées sur leur droits (Art. 37 Abs. 1 lit b LIPDA) Examine toute dénonciation lui parvenant pour signaler une violation de la LIPDA et du RèLIPDA (Art. 37 Abs. 1 lit c LIPDA) Recommande à l organe compétent de modifier ou cesser le traitement s il s avère une violation de la LIPDA / RèLIPDA (Art. 37 Abs. 1 lit d LIPDA) Intervient en tant que médiateur entre les autorités et les privés (Art. 37 Abs. 1 lit e LIPDA) 10

11 2. Attributions de la préposée selon LIPDA Approuve des garanties (Art. 37 Abs. 1 lit f LIPDA) Exécute les autres tâches qui lui sont confiées par la commission (Art. 37 Abs. 1 lit g LIPDA) Autorise le traitement des données sensibles et celles résultant de la fusion ou du chaînage de fichiers. (Art. 37 Abs. 2 LIPDA) Collabore avec les autorités de surveillance cantonales, fédérales et étrangères (Art. 37 Abs. 3 LIPDA) Présente un rapport annuel sur ses activités et constatations (Art. 37 Abs. 4 LIPDA) Assure le secrétariat de la commission cantonale de protection de données et de transparence (Art. 38 Abs. 2 LIPDA) 11

12 UE Confédération Canton 2. Attributions de la préposée Tâches des préposées de protection des données Contrôles Schengen/Dublin- Groupe de travail santé Groupe de travail sécurité interne Groupe de travail Schengen / Dublin Groupe de travail général de Privatim Collaboration avec d autres préposés de protection des données et avec le PFPDT Requêtes et demandes Médiation Conseil Formation Information Contrôles du respect de la loi (Audits) Contrôles des collections des données et des données 12

13 CHF 3. Le budget en particulier Budget coût complet La moitié du budget! Infrastructure générale Secrétariat Informatique Internet et téléphone, présence internet Electricité/chauffage Protection de données: CHF Transparence CHF Traductions Salaires Littérature Articles du bureau, copies, timbres en particulier: Spécialistes Amortissements 13

14 3. Le budget en particulier 1600% 1400% 1200% 1000% 800% 600% 400% 200% 0% Soll-Pensum pro Kanton Kanton Wallis Kanton Bern Kanton Fribourg Kanton Genf Kanton Basel-Stadt Kanton Graubünden Kanton Jura Kanton Luzern Kanton Waadt Kanton Zürich 14

15 3. Le budget en particulier 15

16 4. En bref Augmentation considérable des demandes Introduction du principe de la transparence Exigences de l accord Schengen/Dublin Canton bilingue: coûts de traduction 16

17 5. Comparaison avec le champ privé Art. 11a al. 5 lit. E LPD Par dérogation aux al. 2 et 3, le maître du fichier n est pas tenu de déclarer son fichier s il a désigné un conseiller à la protection des données indépendant chargé d assurer l application interne des dispositions relatives à la protection des données et de tenir un inventaire des fichiers Une liste des entreprises utilisant cette possibilité est publié sous: d=nhzlpzeg7t,lnp6i0ntu042l2z6ln1ae2izn4z2qzpno2yuq2z6gpjcddx92fmym162epybg2 c_jjkbnoksn6a-- environ 840 entreprises ont nommé un responsable de la protection des données 17

18 5. Comparaison avec le champ privé Art. 12b OLDP Tâches et statut du conseiller à la protection des données 1 Le conseiller à la protection des données a notamment pour tâches: a. de contrôler les traitements de données personnelles et de proposer des mesures s'il apparaît que des prescriptions sur la protection des données ont été violées; b. de dresser l'inventaire des fichiers gérés par le maître du fichier mentionné à l'art. 11a, al. 3, LPD et de le tenir à la disposition du préposé ou des personnes concernées qui en font la demande. 2 Le conseiller à la protection des données: a. exerce sa fonction de manière indépendante et sans recevoir d'instructions de la part du maître du fichier; b. dispose des ressources nécessaires à l'accomplissement de sa tâche; c. a accès aux fichiers, aux traitements et aux informations nécessaires à l'accomplissement de sa tâche. 18

19 5. Comparaison avec le champ privé Art. 59a al. 6 OAMal Chaque assureur doit disposer d un service de réception des données. Ce dernier doit être certifié au sens de l art. 11 de la loi fédérale du 19 juin 1992 sur la protection des données. Art. 11 LPD Procédure de certification 1 Afin d améliorer la protection et la sécurité des données, les fournisseurs de systèmes de logiciels et de traitement de données ainsi que les personnes privées ou les organes fédéraux qui traitent des données personnelles peuvent soumettre leurs systèmes, leurs procédures et leur organisation à une évaluation effectuée par des organismes de certification agréés et indépendants. 2 Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l introduction d un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. 19

20 5. Comparaison avec le champ privé Conclusion - Efforts considérables dans le champ privé - En particulier par les assurances - Grand nombre des désignations volontaires d un responsable de protection des données Est-ce que les autorités sont ont train de rater un train? 20

21 Questions? 21

22 Merci Publications Kurzeinführung ins Arbeitsrecht - von der Vertragsanbahnung bis zur Kündigung Sprenger/Sury/Seger, Stämpfli Verlag, 2013 Informatikrecht Sury Ursula, Stämpfli Verlag, 2013 Beitrag Recht im Offshoring, In: IT-Offshoring - Potenziale, Risiken, Erfahrungsberichte Sury Ursula, Orell Füssli Verlag Zürich,

23 Merci Publications de RA Ursula Sury in: IT-business Home Office und Arbeitsrecht Ausgabe 4/2013 aus der Cloud für KMU eine gute Alternative? Ausgabe 3/2013 Die rechtlichen Aspekte der elektronischen Archivierung Ausgabe 2/2013 Datenschutzrechtliche Aspekte zur Software as a Service (SaaS) Ausgabe 1/2013 Umsicht bei Open Source Ausgabe 4/2012 IT-Sicherheit im KMU aus technischer und rechtlicher Sicht Ausgabe 3/2012 Bring your own im Arbeitsalltag Ausgabe 1/2012 Escrow Agreement als Sicherungsinstrument Ausgabe 5/2011 Datenschutz im digitalen Alltag Ausgabe 4/2011 Datenhaltung wer ist für die Daten verantwortlich? Ausgabe 2/2011 Cloud Computing Ausgabe 1/2011 Data Loss Prevention Ausgabe 5/2010 IKS und Risikobeurteilung in der ICT Ausgabe 1/2009 Verantwortlichkeit für Datensammlungen Ausgabe 6/2008 Betrieblicher Datenschutzbeauftragter Ausgabe 5/

24 Merci Publications de RA Ursula Sury dans: Informatik Spektrum (Springer) Contactless Heft 4/2014 Datability Heft 3/2014 Drohnen und Recht Heft 2/2014 Webanalysen Heft 1/

25 Merci Plus de publications sur: lic. iur. Ursula Sury, RA Alpenquai Luzern 25