Conformément à l’art. 30 LPD , le Préposé fédéral à la protection des données et à la transparence a fourni son rapport à l‘Assemblée fédérale. Le 20e Rapport d‘activités (2012/2013) couvre la période du 1er avril 2012 au 31 mars 2013.

Ce Rapport d‘activités (2012/2013) mentionne les principaux cas dont le Préposé a eu à traiter, notamment :

 La présence de caméras de surveillance dans les vestiaires et toilettes de centres de loisirs : des caméras ne peuvent être installées que si leur champ de vision n’englobe pas toute la surface et que les utilisateurs ont la possibilité de se changer à l’abri des regards (par exemple dans cabines individuelles). Les espaces filmés et non filmés doivent être clairement reconnaissables.

 La conservation par les CFF de données concernant des voyageurs sans titre de transports datant de 1999 et 2000, alors que la conservation n’était prévue que pour deux ans.

 Le manque de consentement au traitement des données lors de manifestations sportives de masse : le consentement comme condition ne participation est excessif et ne respecte pas la LPD.

 Dans le domaine sportif toujours, l’entrée en vigueur de la Loi sur l’encouragement du sport (LESp) permet le traitement des données dans le cadre de la lutte contre le dopage (le consentement des sportifs n’était jusqu’alors généralement pas recueilli de manière valable puisqu’il n’était pas donné de plein gré et avec une information suffisante). En revanche, et comme pour toutes les données, un transfert à l’étranger n’est possible que si des garanties spécifiques existent.

 Les mises au pilori sur Internet (liste de mauvais payeurs, membres d’autorités qui rendent de mauvaises décisions, etc.) : ce n’est pas parce que des données sont déjà accessibles sur Internet ou qu’il s’agit de membres d’autorités qu’elles peuvent être utilisées sans restrictions. Le Préposé a publié des Explications relatives aux mises au pilori sur Internet.

 Les outils d’analyse d’audience sur Internet : il est recommandé aux autorités fédérales de ne pas les utiliser vu l’absence de base légale permettant de récolter de telles données et que ces données peuvent être accessibles à des autorités étrangères si elles sont traitées dans d’autres pays comme c’est le plus souvent le cas.

 Recherche de véhicules et surveillance de la circulation automatisées : c’est au droit cantonal de prévoir les conditions auxquelles les polices cantonales peuvent y recourir.

 Recherche médicale : le consentement des patients n’est souvent pas valablement recueilli car ils ne savent pas qu’ils ont un droit de veto, qu’ils sont insuffisamment informés ou que leur situation de santé fait qu’ils ne peuvent pas librement se décider et sont prêts n’importe quoi dans l’espoir d’une solution médicale. Le recours à des données pseudonymisées est recommandé.

 Communication de données de collaborateurs aux autorités américaines : le Préposé admet un intérêt public à la transmission d’informations, mais il recommande une attitude transparente, soit une information préalable des personnes concernées. Il a publié des recommandations à ce sujet.

 Analyse du panier pour les programmes de fidélisation des clients : une analyse de panier qui n’était initialement pas prévue nécessite l’accord express des clients, qui doivent être informés. La simple utilisation continue de la carte client après avoir été informé n’est pas suffisante.

 Moneyhouse : une procédure est en cours. A titre provisoire, le Tribunal administratif fédéral a admis que Moneyhouse devait cesser la publication de données de personnes qui s’y sont opposée et doit réagir aux demandes dans un délai d’un jour ouvrable. La question de la publication des adresses et aux données n’est pas encore résolue.

 Commerce d’adresses : l’utilisation des données provenant de demandes de permis de construire ou du registre foncier doit être conforme à son but et ne permet pas d’activités marketing.

 Le rapport traite aussi des demandes d’accès en application de la loi sur la transparence et rappelle les différentes publications du Préposé durant l’année écoulée (Explications sur la protection des données dans les bibliothèques, brochure Protection des données et de la personnalité sur le lieu de travail : un droit légitime , ainsi que les autres documents déjà mentionnés).

A la lecture de ce rapport, on peut regretter une approche souvent consensuelle et gentille, alors que l’on pourrait souhaiter parfois à une position plus forte des services du Préposé, comme c’est le cas dans d’autres pays.
Le rapport mentionne par exemple que le système de contrôle d’accès utilisé par de nombreuses stations de ski en Suisse doit faire l’objet d’améliorations au niveau de la sécurité des données, les mesures actuelles étant insuffisantes. Le Préposé a examiné avec le fabricant du système comment améliorer la sécurité des données. Une adaptation immédiate des systèmes existants n’apparaissant pas possible, le Préposé semble se contenter de l’engagement du fabricant à concevoir aussi rapidement que possible des mesures appropriées.
Le Préposé avait en revanche eu une position plus ferme dans le cas de l’affaire Google Street View ou de la transmission d’informations des caisses de pension. A la décharge du Préposé, on relèvera que ses moyens d’action sont limités, en particulier le fait qu’il ne puisse pas prononcer directement de sanctions.

Sylvain Métille https://www.smetille.ch