2004-0215 1309 Questions liées à l’organisation de la protection des données au sein de l’administration fédérale Rapport du 21 novembre 2003 de la Commission de gestion du Conseil national Avis du Conseil fédéral du 24 mars 2004 Monsieur le Président, Mesdames et Messieurs, Conformément à l’art. 112, al. 3, LParl, nous vous présentons ci-après l’avis du Conseil fédéral sur le rapport du 21 novembre 2003 de la Commission de gestion du Conseil national sur les questions liées à l’organisation de la protection des données au sein de l’administration fédérale. Nous vous prions d’agréer, Monsieur le Président, Mesdames et Messieurs, l’assu- rance de notre haute considération. 24 mars 2004 Au nom du Conseil fédéral suisse: Le président de la Confédération, Joseph Deiss La chancelière de la Confédération, Annemarie Huber-Hotz 1310 Avis 1 Introduction Le 22 janvier 2003, la sous-commission «Affaires générales» de la Commission de gestion du Conseil national (CdG-N) a eu un entretien avec le Préposé fédéral à la protection des données (Préposé). À la suite de cette visite, elle a décidé de se pen- cher plus spécifiquement sur l’organisation de la protection des données au sein de l’administration fédérale, en particulier da ns le cadre de projets importants impli- quant des traitements de données personnelles. A cet effet, elle a procédé à toute une série de consultations. La CdG-N en a adopté le rapport à l’unanimité lors de sa séance du 21 novembre 2003 et l’a transmis pour avis au Conseil fédéral, en le priant de répondre avant la fin de mars 2004. 2 Etat de la protection des données dans l’administration fédérale Le Conseil fédéral est conscient du fait que le développement rapide des technolo- gies entraîne un développement considérable du traitement de données personnelles dont la protection est de plus en plus comp lexe et importante. Il accorde et continue- ra d’accorder une place essentielle à la protection des données dans l’administration fédérale. Pour tous les projets ayant des incidences dans ce domaine, le Préposé est régulièrement consulté dans le cadre des procédures internes à l’administration. En ce qui concerne la procédure des co-rapports, l’avis du Préposé est transmis au Conseil fédéral en même temps que la proposition. Le respect de la protection des données est ainsi assuré de manière optimale. A l’échelon de l’administration, il existe en outre un groupe interdépartemental des conseillers à la protection des données dans les départements, dont fait également partie une délégation du Prépo- sé, groupe placé sous la direction de la Chan cellerie fédérale et assurant la coordina- tion non seulement entre les départements mais encore avec ledit Préposé. 3 Réorientation des activités du Préposé fédéral à la protection des données et question des ressources Le Conseil fédéral a pris connaissance du fait que le Préposé est en train de réorien- ter ses activités. Le préposé entend étoffer systématiquement ses tâches de surveil- lance tout en limitant ses activités de c onseiller. C’est ainsi qu’il n’accompagnera plus, au sein de groupes de travail ou de commissions, tous les projets de l’admi- nistration impliquant la protection des données, pour concentrer son activité sur les cas qui exigent des connaissances spécifiques ou qui paraissent particulièrement sensibles. Il cessera en outre de répondre aux questions des départements et des offices, à moins qu’elles n’émanent de leur conseiller à la protection des données. Font également exception les projets législatifs, au sujet desquels le Préposé conti- nuera de prendre position dans le cadre des procédures internes à l’administration. 1311 La loi charge le Préposé de surveiller l’application par les organes fédéraux des dispositions (fédérales) relatives à la pr otection des données et d’établir les faits, d’office ou à la demande de tiers. Elle le charge en outre d’assister les organes fédéraux dans le domaine de la protection des données et de se prononcer sur les projets qui touchent à cette protection. Dans le cadre de son mandat légal, le Préposé s’acquitte de ses tâches de manière autonome. Le Conseil fédéral peut comprendre que des considérations financières et économiques puissent entraîner un recentrage autour de certaines tâches spécifiques liées à la protection des données. Il n’en demeure pas moins que les tâches imparties au Préposé par la loi doivent être exécutées aussi complètement qu’elles l’ont été jusqu’ici. La réorientation demandée par le Préposé libère des ressources qui lui permettront de mieux s’acquitter de son mandat légal. Le Conseil fédéral accorde une grande importance à la protection des données dans l’administration fédérale. Le budget 2004 octroie des moyens supplémentaires au Préposé, permettant de financer trois nouveaux postes. Le Conseil fédéral est toutefois convaincu que les dispositions relatives à la protection des données sont en règle générale très scrupuleusement observées par l’administration fédérale. Il ne voit donc pas de raison de renforcer le personnel du Préposé au-delà des crédits octroyés, étant donné que cette augmenta- tion irait à l’encontre de la tendance générale des mesures d’allégement budgétaires de la Confédération. Un signal de cet ordre serait d’ailleurs mal compris par le public. La réorientation des activités du Préposé oblige les départements et les offices à assumer eux-mêmes un plus grand nombre de tâches liées à la protection des don- nées. Par conséquent, il faut revaloriser le statut des conseillers des départements et des offices en la matière. Le Conseil fédéral tient donc à ce que leur fonction dans l’organisation, leur position hiérarchique et leurs tâches soient clairement réglées. Leur indépendance et les ressources qui leur sont nécessaires doivent être garanties. Les conseillers doivent en outre justifier d’une formation professionnelle suffisante. Le Conseil fédéral est d’avis que la mise en œuvre de la protection des données par les conseillers des départements et des offices doit en principe se faire dans le cadre des ressources dont disposent la Chancellerie, les départements et les offices. Ceci dit, il convient de tenir compte de l’importance croissante de ces spécialistes. 1312 4 Commentaire des diverses recommandations de la commission 4.1 Recommandation 1: Statut des conseillers des départements et des offices à la protection des données La recommandation demandant le règlement uniforme, détaillé et contraignant au niveau fédéral des tâches et des compétences de ces spécialistes est déjà partielle- ment réalisée. Leurs tâches sont définies à l’art. 23 de l’ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données (OLPD) 1. Ils ont d’une part un devoir d’assistance, qui consiste à conseiller les organes responsables et les utilisa- teurs et à promouvoir l’information et la formation des collaborateurs; d’autre part, ils doivent concourir à l’application des prescriptions relatives à la protection des données. Aucune tâche légale de surveillance ni aucune décision de fond (lors de l’élaboration de projets relatifs à la pr otection des données, par exemple) ne leur sont par contre attribuées. Les exigences des départements et de la chancellerie en matière de protection des données sont très diverses parce que ces organes gouvernementaux diffèrent en taille et que les données qu’ils traitent sont plus ou moins sensibles. C’est pourquoi il n’existe à ce jour aucune réglementation détaillée unifiée s’appliquant à toutes les unités administratives. Dans le cadre des dispositions légales, les départements ou les offices fédéraux ont défini eux-mêmes les tâches et les compétences de leurs conseillers à la protection des données. La Chancellerie fédérale, le Département fédéral de justice et police et le Départemen t fédéral de la défense, de la protection de la population et des sports appliquent des directives détaillées. Dans son message du 19 février 2003 relatif à la révision de la loi fédérale sur la protection des données (FF 2003 1915), le Conseil fédéral s’est déclaré prêt à régler le rôle et les tâches des conseille rs à la protection des données (art. 11 a, al. 6, du projet). Les modalités doivent être définies à l’échelon de l’OLPD. La CdG-N recommande aussi que les conseillers soient directement subordonnés à la direction du département ou de l’un ité administrative. Cette demande d’indé- pendance reçoit l’approbation du Conseil fédéral qui s’est déjà exprimé en faveur d’une indépendance organisationnelle de ce type (subordination hiérarchique directe, non-obligation de s’en tenir aux instructions du maître du fichier) dans le message du 19 février évoqué ci-dessus (cf. FF 2003 1949). Comme la réorientation des activités du Préposé entraîne un renforcement du rôle des conseillers départemen- taux à la protection des données, il est essen tiel que leur indépendance soit garantie. Le Conseil fédéral est donc prêt à accepter la recommandation. Autre recommandation: améliorer et renforcer les instruments de coordination inter- et intradépartementale. Au niveau interdépartemental, de tels instruments sont déjà fournis par la procédure de consultation des offices et par la procédure de co-rapport. Il existe en outre un groupe interdépartemental «protection des don- nées», placé sous la direction de la Chancellerie fédérale, même s’il ne s’agit pas à l’heure actuelle d’un organe de coordinatio n au sens de l’art. 55 de la loi sur l’organisation du gouvernement et de l’administration (LOGA) 2. Le Conseil fédéral 1 RS 235.11 2 RS 172.010 1313 est d’avis que les instruments de coordination interdépartementaux existants se sont avérés efficaces. Il est toutefois prêt à étudier une éventuelle institutionnalisation du groupe «protection des données», étant donné la réorientation des activités du Pré- posé. Dans le domaine de la coopération intradépartementale, le Conseil fédéral recommande par contre aux départements d’étudier si des mesures doivent être prises ou non, la nécessité d’agir étant plus ou moins forte d’un département à l’autre. Il est d’avis qu’il faut chercher des modes de collaboration allégés, efficaces et économiques. La recommandation 1 de la CdG-N concerne l’ensemble des départements et la Chancellerie fédérale. La meilleure façon de garantir que le manque avéré de coor- dination sera pallié consiste, aux yeux du Conseil fédéral, à en confier la mise en œuvre à la Conférence des secrétaires généraux. 4.2 Recommandation 2: Formation des conseillers à la protection des données La réorientation des activités du Préposé entraîne un transfert massif des tâches de conseil et d’accompagnement de projets ve rs les conseillers à la protection des données des départements et des offices, dont la fonction va par conséquent gagner en importance. Le Conseil fédéral est donc lui aussi d’avis que l’offre de formation pour ces conseillers doit être étoffée. Les services du Préposé préparent en ce moment un classeur-type à leur intention. Cette documentation devant leur fournir une aide appropriée, il importe qu’elle soit bientôt achevée. Par ailleurs, le Préposé est invité à développer une offre de formation destinée aux conseillers à la protection des données de l’administration fédérale. Ces diverses mesures visent à garantir que les responsabilités accrues qui incomberont au x conseillers (du fait de la réorienta- tion des activités du Préposé) seront effectivement prises en compte. 4.3 Recommandation 3: Ressources adéquates pour les conseillers à la protection des données Au début de 2002, le groupe «protection des données» a rédigé un descriptif du poste de conseiller à la protection des données au sein de la Chancellerie fédérale et des départements, destiné à clarifier la fonction et les tâches y afférentes. Ce descrip- tif a été transmis pour information à la Conférence des secrétaires généraux (CSG) lors de la séance qu’elle a tenue le 31 mai 2002. Le descriptif de poste est conçu comme une recommandation à l’adresse de la Chan- cellerie fédérale et des départements. Il doit leur servir à définir eux-mêmes les tâches de leur conseiller, en tenant compte de leurs besoins spécifiques et de leur taille. Les tâches décrites dans le cahier des charges standard se fondent sur un taux d’occupation de 20 % à l’échelon de la Chancellerie fédérale et des départements. Cette condition n’est toutefois pas impérative. Selon la taille de l’unité administra- tive et le volume de travail engendré par la protection des données à l’échelon des offices fédéraux, les ressources nécessaires varient et le taux d’occupation peut être fixé plus haut ou plus bas. C’est aux départements qu’il incombe de définir leurs besoins. La CSG a réservé un accueil favorable au descriptif, tout en soulignant que 1314 ce dernier ne doit pas être compris comme une incitation à créer de nouveaux postes. Le Conseil fédéral partage cet avis et suit la recommandation de la CdG-N en confiant aux départements le mandat de chiffrer l’importance des tâches de protec- tion des données (en termes de taux d’occupa tion) et d’inscrire ce pourcentage dans le cahier des charges de leurs conseillers à la protection des données. L’ordre de grandeur des ressources nécessaires exposé ici ne se rapporte qu’à l’échelon de la Chancellerie fédérale et à celui des départements. Il se peut par contre que certains offices aient des besoins nettement supérieurs: étant les unités en charge de l’administration fédérale, ce sont eux avant tout qui sont les responsables internes de la protection des données, al ors qu’à l’échelon départemental il n’en résulte souvent qu’une tâche de coordination. 4.4 Recommandation 4: Participation du Préposé au développement du droit de la protection des données Le Conseil fédéral partage l’avis de la CdG-N qui préconise de laisser à l’Office fédéral de la justice la compétence législ ative en matière de protection des données et de ne pas transférer cette compétence au Préposé. Ce dernier doit cependant être intégré au processus de développement du droit de la protection des données. La recommandation demandant que des procédures claires garantissent au Préposé la possibilité de faire entendre son avis sur l’évolution du droit est déjà réalisée. Le Préposé est régulièrement invité à s’exprimer dans le cadre de la procédure de consultation des offices lorsque des questi ons liées à la protection des données se présentent. S’il a des remarques à formuler au stade du co-rapport, celles-ci sont présentées au Conseil fédéral par la ch ancelière de la Confédération. En outre, l’Aide-mémoire de la Chancellerie fédérale relatif aux messages du Conseil fédéral prévoit que les «autres conséquences» d’un projet doivent être exposées au ch. 3.4 où doivent donc figurer les conséquences éventuelles en termes de protection des données, notamment en ce qui concerne le traitement des données personnelles, l’établissement de liaisons en ligne et les mesures de sécurité prises dans ce contexte. Le Conseil fédéral estime que la procédure actuelle garantit suffisamment que le point de vue du Préposé est examiné et pris en compte dans le cadre de l’élaboration des messages à l’intention des Chambres. À ses yeux, aucune action spécifique n’est donc nécessaire. Schweizerisches Bundesarchiv, Digitale Amtsdruckschriften Archives fédérales suisses, Publications officielles numérisées Archivio federale svizzero, Pubblicazioni ufficiali digitali Questions liées à l'organisation de la protection des données au sein de l'administration fédérale. Rapport de la Commission de gestion du Conseil national du 21 novembre 2003. Avis du Conseil fédéral In Bundesblatt Dans Feuille fédérale In Foglio federale Jahr 2004 Année Anno Band 1 Volume Volume Heft 13 Cahier Numero Geschäftsnummer --- Numéro d'affaire Numero dell'oggetto Datum 06.04.2004 Date Data Seite 1309-1314 Page Pagina Ref. No 10 137 494 Die elektronischen Daten der Schweizerischen Bundeskanzlei wurden durch das Schweizerische Bundesarchiv übernommen. Les données électroniques de la Chancellerie fédérale suisse ont été reprises par les Archives fédérales suisses. I dati elettronici della Cancelleria federale svizzera sono stati ripresi dall'Archivio federale svizzero.