Le Canton de Vaud révise enfin sa loi sur la protec­tion des données, vieille de bien­tôt vingt ans. L’ASDPO salue ce chan­tier attendu et rendu néces­saire par les exigences de la Convention 108+, de la direc­tive (UE) 2016/​680 (Schengen) et de la LPD. Néanmoins l’ASDPO estime que la place réser­vée au conseiller à la protec­tion des données n’est pas en ligne avec les bonnes pratiques et le but même de la protec­tion des données Par consé­quent, elle a déposé le 30 juin 2026, une prise de posi­tion rela­tive à l’art. 4 du projet vaudois (pLPrD).

La démarche de l’ASDPO

Défendre et faire recon­naître la fonc­tion de conseiller à la protec­tion des données (Data Protection Officer, ou DPO) consti­tue la raison d’être de l’ASDPO.

À la lecture du projet du Conseil d’État, un constat s’est imposé : les dispo­si­tions consa­crées à cette fonc­tion demeurent en deçà des attentes qu’elles pouvaient légi­ti­me­ment susci­ter. L’ASDPO a donc choisi de concen­trer sa prise de posi­tion sur cet unique article, celui qui concerne le plus direc­te­ment les missions et les inté­rêts de ses membres.

Les points de préoccupations

Quatre points ont parti­cu­liè­re­ment retenu l’attention de l’ASDPO.

• Un flou dans la termi­no­lo­gie utili­sée. Le projet fait mention de « personne de réfé­rence » (dans l’in­ti­tulé de l’art. 4 pLPrD) et égale­ment de « conseiller à la protec­tion des données » (dans le corps du texte). Cette double appel­la­tion sème la confu­sion. L’ASDPO plaide pour l’adop­tion d’une déno­mi­na­tion unique, celle déjà consa­crée à l’art. 10 LPD de « conseiller à la protec­tion des données ».

• Un cercle trop restreint. L’obligation ne vise­rait que les dépar­te­ments de l’État. Or, l’art. 2 al. 1 let. a à d pLPrD soumet à la loi les communes, les enti­tés inter­com­mu­nales, les auto­ri­tés admi­nis­tra­tives indé­pen­dantes et les établis­se­ments auto­nomes de droit public. A l’instar des dépar­te­ments, ces enti­tés et insti­tu­tions traitent chaque jour des données tout aussi sensibles. Pour une raison que l’ASDPO ignore, elles ne seraient donc pas tenues de dési­gner un conseiller à la protec­tion des données, alors que tout se joue juste­ment dans ces enti­tés et insti­tu­tions, véri­tables respon­sables du trai­te­ment. Nos voisins l’ont bien compris : le Valais (article 30c LIPDA) impose la dési­gna­tion à chaque respon­sable du trai­te­ment, communes comprises et Genève à chaque insti­tu­tion publique (art. 50 LIPAD).

• Un manque de souplesse. Le projet n’au­to­rise le partage d’un conseiller à la protec­tion des données que dans le domaine d’application Schengen. C’est regret­table : ouvrir la mutua­li­sa­tion et l’ex­ter­na­li­sa­tion à l’en­semble des respon­sables du trai­te­ment — comme le font déjà les cantons du Valais et de Genève — rendrait l’obli­ga­tion de nomi­na­tion à la fois réaliste et acces­sible, y compris pour les plus petites struc­tures, le respon­sable demeu­rant garant de la confor­mité de ses traitements.

• Un conseiller… introu­vable ? Le conseiller est géné­ra­le­ment dési­gné comme point de contact des personnes concer­nées et de l’au­to­rité. Encore faut-il pouvoir le joindre. Or le projet n’im­pose nulle part de rendre ses coor­don­nées acces­sibles — contrai­re­ment à la liste publique gene­voise (art. 50 al. 6 LIPAD) ou au portail fédé­ral (art. 27 al. 2 OPDo). Une exigence de trans­pa­rence en cohé­rence avec l’art. 9 pLPrD, suffi­rait à combler cette lacune.

Propositions

Le message de l’ASDPO est simple : la dési­gna­tion d’un conseiller à la protec­tion des données devrait être obli­ga­toire pour toutes les enti­tés publiques soumises à la loi (art. 2 al. 1 let. a à d pLPrD), au plus près des équipes qui traitent réel­le­ment les données. C’est le meilleur gage d’une protec­tion cohé­rente et effec­tive, et c’est aussi ce que recom­mande la Cour des comptes vaudoise (rapport n° 74).

Si le Conseil d’État préfé­rait une approche plus souple — une dési­gna­tion volon­taire encou­ra­gée par des allè­ge­ments de procé­dure, sur le modèle de l’art. 10 LPD —, alors l’ASDPO préco­nise qu’elle le soit à condi­tion que ces inci­ta­tions soient réelles et concrètes (ex. : dispense de consul­ta­tion préa­lable après analyse d’im­pact, simpli­fi­ca­tion du registre des trai­te­ments) et que la dési­gna­tion demeure obli­ga­toire dans le domaine Schengen, avec le risque que cette approche souple laisse sur le bord du chemin les petites struc­tures, celles-là mêmes qui auraient le plus besoin d’un conseiller. La préfé­rence de l’ASDPO va donc clai­re­ment à l’obli­ga­tion générale.

Pour conclure

Cette révi­sion est une belle occa­sion de doter le Canton de Vaud d’un cadre clair, moderne et à la hauteur de ses voisins — ce au béné­fice des insti­tu­tions comme des citoyens dont les données sont en jeu.

La prise de posi­tion complète, avec un tableau compa­ra­tif, est dispo­nible sur ici.