Journalisation lors du traitement de données personnelles par la Confédération : nouvelles règles en vigueur à partir de décembre 2025
Berne, 29.10.2025 — Lorsque les organes fédéraux procèdent à un traitement automatisé de données personnelles particulièrement sensibles, ils sont tenus de procéder à une journalisation. Si les données sont moins sensibles, ils devront à l’avenir effectuer une analyse des risques pour déterminer si la journalisation est nécessaire, et le cas échéant, à quel point cette journalisation doit être détaillée. L’ordonnance sur la protection des données a été modifiée en ce sens. Lors de sa séance du 29 octobre 2025, le Conseil fédéral a décidé que les modifications entreront en vigueur le 1er décembre 2025.
La journalisation vise à assurer la transparence et la traçabilité des traitements de données. Elle contribue en outre à sécuriser les données personnelles et à empêcher les abus. Dans le cadre de la révision totale du droit de la protection des données en 2023, l’obligation de journaliser a été étendue. Les organes fédéraux ou leurs sous-traitants sont depuis lors obligés de journaliser au moins l’enregistrement, la modification, la lecture, la communication, l’effacement et la destruction de tous les types de données personnelles.
La pratique montre que la nouvelle réglementation ne permet pas de tenir suffisamment compte de la proportionnalité des coûts de mise en œuvre de la journalisation par rapport au risque en matière de protection des données. C’est pourquoi le Conseil fédéral a décidé que les organes fédéraux devront opter pour une approche fondée sur le risque. Pour ce faire, le Conseil fédéral a modifié ponctuellement les dispositions de l’ordonnance sur la protection des données relatives à la journalisation en cas de traitement de données personnelles moins sensibles.
Lorsque des données personnelles moins sensibles seront traitées, les organes fédéraux devront donc évaluer si le traitement présente un risque pour les droits fondamentaux des personnes (droit à l’autodétermination en matière d’information ou à la protection de la sphère privée). Ils devront également tenir compte de l’état des connaissances et des coûts de la journalisation. Sur la base de cet examen, ils détermineront la nécessité et l’étendue de la journalisation. Plus le risque pour les droits fondamentaux est élevé, plus la journalisation devra être détaillée.
Pas de changement pour les données personnelles sensibles
Aucun changement n’est en revanche prévu des règles concernant la journalisation du traitement de données personnelles particulièrement sensibles, comme les informations sur la santé ou les convictions politiques : les traitements de ce type de données continueront d’être journalisés sans exception.
Lors de sa séance du 29 octobre 2025, le Conseil fédéral a décidé que les modifications de l’ordonnance sur la protection des données entreront en vigueur le 1er décembre 2025. Les organes fédéraux qui ont planifié ou déjà commencé des traitements automatisés de données personnelles avant l’entrée en vigueur des nouvelles règles auront jusqu’à fin 2026 pour examiner si une journalisation est nécessaire. Si l’examen le confirme, ils devront la mettre en place d’ici à fin 2029. Ce délai transitoire ne s’applique pas aux traitements de données personnelles sensibles déjà soumis à l’obligation de journalisation selon l’ancien droit.