Devoir d’informer selon la nouvelle LPD
Selon la loi fédérale sur la protection des données dans sa version antérieure au 1er septembre 2023 (LPD), les détenteurs de fichiers de données étaient uniquement tenus d’informer les personnes concernées lors de la collecte de données personnelles sensibles et de l’établissement de profils de la personnalité. La loi révisée sur la protection des données, en vigueur depuis le 1er septembre 2023 (LPD révisée), impose au responsable du traitement un devoir d’information plus étendu. Désormais, les personnes concernées doivent être informées de toute collecte de données personnelles, qu’elles soient sensibles ou non.
Étendue du devoir d’information selon la nouvelle LPD :
Informations obligatoires
Conformément à l’art. 19, al. 1, de la nLPD, le responsable du traitement est tenu d’informer de manière appropriée les personnes concernées de la collecte de leurs données personnelles ; ce devoir d’information s’applique également lorsque les données personnelles ne sont pas collectées directement auprès de la personne concernée. Selon l’art. 19, al. 2 et suivants de la nLPD, les informations suivantes doivent au minimum être fournies :
- L’identité et les coordonnées du responsable du traitement ;
- les finalités du traitement ;
- Les destinataires ou les catégories de destinataires auxquels les données personnelles sont communiquées;
- Les catégories de données personnelles traitées, si celles-ci elles n’ont pas été collectées directement auprès de la personne concernée ;
- Si des données personnelles sont transférées à l’étranger, les Etats ou organisations internationales destinataires ainsi que, le cas échéant, les garanties prévues pour assurer une protection adéquate des données selon l’article 16, ou les exceptions applicables selon l’article 17 de la nLPD.
En outre, les responsables du traitement doivent informer, conformément à l’art. 21 de la nLPD, lorsqu’une décision est fondée exclusivement sur un traitement automatisé et qu’elle entraîne des conséquences juridiques pour la personne concernée ou l’affecte de manière significative.
Informations facultatives
Les informations sur la protection des données doivent contenir toutes les données nécessaires permettant à la personne concernée d’exercer ses droits en vertu de la nLPD. Afin de remplir cet objectif, il est recommandé d’ajouter aux informations fournies aux personnes concernées les éléments optionnels suivants :
- Des informations sur les droits des personnes concernées selon la nLPD ;
- Les coordonnées du service du responsable du traitement auprès duquel la personne concernée peut faire valoir ses droits (p. ex. demande d’accès, demande de rectification ou de suppression de données personnelles) ;
- les coordonnées du service auprès duquel la personne concernée peut demander une révision manuelle d’une décision individuelle automatisée ;
- Si le traitement de données est basé sur le consentement de la personne concernée, toutes les informations nécessaires pour qu’elle puisse prendre une décision éclairée sur ce consentement ;
- Des informations sur les modalités de retrait d’un consentement donné, ou sur la manière de refuser la réception de publicités de masse dans le cadre d’une relation client existante.
Communication des données individuelles ou des catégories de données
L’art. 6, al. 1 et 2 de la nLPD consacrent le principe de transparence dans le domaine de la protection des données. Selon l’art. 13 de l’ordonnance sur la protection des données du 31 août 2022 (OPDo), cette information doit être facilement accessible et compréhensible. Dans son arrêt C-154/21 relatif à l’information sur les destinataires ou les catégories de destinataires en cas de demande d’accès, la Cour de justice de l’Union européenne (CJUE) a précisé l’interprétation de l’article 15, alinéa 1, lettre c) du RGPD concernant le droit d’information au sujet des destinataires. Elle a jugé que la personne concernée devait se voir communiquer l’identité des destinataires de ses données, sauf impossibilité d’identification — auquel cas seules les catégories de destinataires peuvent être indiquées ». La CJUE a également rappelé que tout traitement de données personnelles doit respecter les principes fondamentaux de protection des données. Les décisions de la CJUE ne sont pas applicables en Suisse. Néanmoins, les tribunaux fédéraux suisses se sont inspirés par le passé de l’interprétation de la CJUE sur les questions de protection des données (voir par exemple l’arrêt du Tribunal fédéral 136 II 508 – 08.09.2010 sur les adresses IP en tant que données personnelles). Ainsi, dans un souci de transparence, il peut être judicieux, pour les responsables du traitement en Suisse, de ne pas se limiter à mentionner les catégories de destinataires, mais de nommer explicitement les destinataires individuels, conformément à l’approche retenue par la CJUE.
Modalités du devoir d’informer :
L’information selon l’art. 19 de la nLPD doit être fournie lors de la collecte de données personnelles, c’est-à-dire au début d’un traitement, lorsque des données personnelles sont collectées/saisies. Une information unique suffit : Selon l’art. 20, al. 1, let. A de la nLPD, il n’est pas nécessaire d’informer à nouveau la personne concernée si elle dispose déjà des informations correspondantes. L’article 13 de l’ordonnance sur la protection des données (OPDo) précise que le responsable doit communiquer l’information à la personne concernée « de manière concise, transparente, compréhensible et facilement accessible “.
Exceptions au devoir d’informer :
Dans certains cas, le devoir d’information ne s’applique pas. Par exemple, conformément l’art. 20 de la nLPD, lorsque le traitement des données est prévu par la loi, que le responsable du traitement est lié par une obligation légale de garder le secret ou qu’il peut faire valoir le privilège des médias selon l’art. 27 de la nLPD et que les données personnelles sont traitées exclusivement pour la publication dans la partie rédactionnelle d’un média à parution périodique ou qu’elles sont utilisées uniquement comme outil de travail personnel dans ce contexte.
Il n’y a pas non plus d’obligation d’information lorsque les données personnelles ont été collectées auprès de tiers et que l’information des personnes concernées est impossible ou exigerait des efforts disproportionnés.
Il est en outre possible de renoncer à la communication de l’information si celle-ci risque de compromettre les finalités du traitement ou si des intérêts prépondérants du responsable ou d’un tiers s’opposent à cette communication.
Devoir d’information et demandes d’accès selon l’art.25 de la NLPD :
Les informations à fournir aux personnes concernées selon l’art. 19 de la nLPD doivent être communiquées de manière proactive à chaque collecte de données personnelles. En revanche, les demandes d’accès fondées sur l’art. 25 de la nouvelle LPD ne sont fournies que sur demande de la personne concernée, mais elles sont plus étendues que les simples informations aux personnes concernées. En plus des informations prévues à l’art. 19 de la nLPD, les réponses à une demande d’accès doivent également inclure, entre autres, les éléments suivants :
- la durée de conservation des données personnelles ou, si cela n’est pas possible, les critères permettant de déterminer cette durée ;
- les informations disponibles sur l’origine des données personnelles, dans la mesure où elles n’ont pas été collectées directement auprès de la personne concernée ;
- Le cas échéant, l’existence d’une décision individuelle automatisée ainsi que la logique sur laquelle repose cette décision.
Conséquences en cas de violation du devoir d’information :
Le non-respect intentionnel du devoir d’information et de réponse aux demandes d’accès prévues par la loi nLPD constitue une infraction pénale, poursuivie sur plainte. Peut ainsi être puni d’une amende pouvant atteindre 250 000 francs quiconque enfreint intentionnellement les obligations prévues à l’art. 19 (devoir d’informer), à l’art. 21 (devoir d’informer en cas de décision individuelle automatisée) et aux art. 25 à 27 (droit d’accès) de la nLPD en fournissant intentionnellement des informations erronées ou incomplètes. Peut également être sanctionné quiconque omet intentionnellement d’informer la personne concernée conformément aux art. 19, al. 1 et 21, al. 1 de la nLPD, ou omet de fournir des informations prévues à l’art. 19, al. 2 de ladite loi.