1 L’organe fédéral responsable et son sous-traitant établissent un règlement pour les traitements automatisés en cas:
- a.
de traitement de données sensibles;
- b.
de profilage;
- c.
de traitement de données personnelles au sens de l’art. 34, al. 2, let. c, LPD;
- d.
d’accès aux données personnelles accordé aux cantons, aux autorités étrangères, aux organisations internationales ou aux personnes privées;
- e.
d’ensembles de données interconnectés, ou
- f.
d’exploitation d’un système d’information ou de gestion d’ensembles de données conjointement avec d’autres organes fédéraux.
2 Le règlement comprend en particulier des informations sur l’organisation interne, sur les procédures de traitement et de contrôle des données, ainsi que sur les mesures visant à garantir la sécurité des données.
3 L’organe fédéral responsable et son sous-traitant actualisent régulièrement le règlement et le mettent à la disposition du conseiller à la protection des données.