Ordonnance
sur le traitement des données par la centrale d’enregistrement des signalements et dénonciations du Contrôle fédéral des finances
(OTDCF)

La présente ordonnance régit le traitement des données personnelles et des données concernant des personnes morales par la centrale d’enregistrement des signalements et dénonciations (centrale) du Contrôle fédéral des finances (CDF) visée à l’art. 10a, al. 2, LCF.

Elle s’applique:

1. aux collaborateurs du CDF qui traitent les signalements et dénonciations visés à l’art. 10a, al. 1, LCF;

2. aux tiers mandatés par le CDF pour le traitement de données en lien avec les signalements et dénonciations visés à l’art. 10a, al. 1, LCF.

La centrale peut traiter des données personnelles et des données concernant des personnes morales, y compris des données sensibles, en lien avec les signalements et dénonciations visés à l’art. 10a, al. 1, LCF afin:

1. de déterminer les compétences;

2. d’établir les faits;

3. de mettre en œuvre les mesures nécessaires.

La centrale peut traiter les données concernant:

1. des personnes qui sont l’auteur d’un signalement ou d’une dénonciation;

2. des personnes qui ont fait l’objet d’un signalement ou d’une dénonciation;

3. des personnes dont il ressort de l’établissement des faits qu’elles ont un lien avec les faits signalés ou dénoncés.

Elle peut notamment traiter les données suivantes:

1. le nom et le prénom;

2. la date de naissance;

3. le sexe;

4. la nationalité;

5. l’adresse de domicile;

6. le numéro de téléphone fixe ou portable;

7. l’adresse électronique;

8. les coordonnées bancaires;

9. les données sur la situation financière;

10. les données sur la situation familiale ou extrafamiliale;

11. les données sur la formation et la formation continue;

12. les données sur l’environnement professionnel et commercial.

Le traitement de données sensibles se limite aux données:

1. sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales;

2. sur la santé, la sphère intime ou l’origine raciale ou ethnique;

3. sur des poursuites ou sanctions pénales et administratives;

4. sur des mesures d’aide sociale.

Le CDF confie le traitement des données uniquement à des collaborateurs formés à cet effet.

Il peut confier à des tiers le traitement de données personnelles et de données concernant des personnes morales, y compris de données sensibles. Il reste l’organe responsable.

Dans la mesure où cela est nécessaire pour atteindre les buts fixés à l’art. 2, la centrale peut communiquer des données personnelles et des données concernant des personnes morales, y compris des données sensibles, aux autorités compétentes de la Confédération et des cantons et aux tiers mandatés pour le traitement des données.

Si le CDF reçoit un signalement ou une dénonciation qui ne relève pas de sa compétence, il peut le ou la transmettre aux autorités compétentes de la Confédération ou des cantons, même si ce signalement ou cette dénonciation contient des données sensibles.

Les données concernant l’auteur du signalement ou de la dénonciation ne peuvent être communiquées que si:

1. cette personne y consent;

2. une loi au sens formel le prévoit.

Le CDF exploite un système d’information sécurisé en ligne qui permet de recueillir, de traiter et de conserver les signalements et les dénonciations, y compris anonymes, visés à l’art. 10a, al. 1, LCF (système de signalement et de dénonciation).

La centrale numérise les signalements et dénonciations qui ne sont pas transmis au moyen du système de signalement et de dénonciation et les saisit dans ce dernier. Une fois numérisés, les documents originaux sont détruits.

Les signalements et dénonciations recueillis ne font pas l’objet d’un traitement ultérieur si:

1. ni le CDF, ni les autorités de la Confédération et des cantons concernées, ni les tiers mandatés pour le traitement des données ne sont compétents en la matière, ou

2. le contenu des signalements ou des dénonciations ne permet pas de les traiter.

Le CDF restreint l’accès au système de signalement et de dénonciation. Aucun service extérieur au CDF ne peut y accéder.

Le CDF peut faire appel à d’autres services de la Confédération et à des prestataires privés pour le développement technique et l’exploitation du système de signalement et de dénonciation. Ceux-ci n’ont pas accès aux données.

Le CDF définit dans un règlement sur le traitement des données:

1. les autorisations d’accès;

2. les mesures organisationnelles et techniques visant à garantir la sécurité des données, notamment lors de la transmission de données à des services extérieurs au CDF;

3. le contrôle du traitement des données.

Les données sont proposées aux Archives fédérales à l’expiration de la durée de conservation fixée à l’art. 10a, al. 6, LCF. La proposition, l’évaluation et la livraison des données sont régies par la loi fédérale du 26 juin 1998 sur l’archivage².

Les données qui ne sont pas archivées sont détruites.

La présente ordonnance entre en vigueur le 1^er janvier 2027.