La loi fédérale sur la protection des données, versus secteur privé Jean-Philippe Walter, Dr en droit Préposé fédéral suppléant à la protection des données et à la transparence

Plan Introduction Le cadre juridique de la protection des données Les définitions Les principes de base Les droits des personnes concernées Obligations des responsables de traitement Le PFPDT, présentation générale Statut, organisation Tâches, compétences Processus de contrôle Questions

Protection des données: cadre légal Article 8 CEDH « Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance » Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (Convention 108) Protocole additionnel à la Convention 108 concernant les autorités de contrôle et les flux transfrontières de données Article 13, alinéa 2, Constitution fédérale : « Toute personne a le droit d’être protégée contre l’emploi abusif des données qui la concernent » Loi fédérale du 19 juin 1992 sur la protection des données Lois cantonales de protection des données

Objet de la protection des données Protéger la personnalité et les droits fondamentaux des personnes dont les données font l’objet d’un traitement:

Portée de la protection des données Individuelle Protection du droit de la personnalité et des droits et libertés fondamentales en tant que fondement d’un cadre de vie autonome Sociale Base d’une société ouverte, libérale et responsable Condition d’une société démocratique Nécessaire à préserver l’intérêt général, à garantir l’exercice d’autre libertés Droit à la protection : socle de tous droits et toutes libertés fondamentales

Définitions Données personnelles: toute information qui se rapportent à une personne identifiée ou identifiable: Données sensibles: Opinions ou activités religieuses, philosophiques, politiques ou syndicales, Santé, sphère intime, appartenance à une race Mesures d’aide sociale Poursuites ou sanctions pénales et administratives Profil de la personnalité: assemblage de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique

Définitions Traitement: toute opération relative à des données personnelles – quels que soient les moyens ou procédés utilisés – notamment collecte, conservation, exploitation, modification, communication, archivage ou destruction des données Fichier: tout ensemble de données personnelles dont la structure permet de rechercher les données par personne concernée.

Principes de base de la protection des données Le traitement de données doit être licite Loi, notamment si le traitement est le fait d’organe public Motif justificatif si le traitement est le fait d’une personne privée loi Intérêt privé ou public prépondérant Consentement Le traitement doit être conforme à bonne foi Principe de la transparence Obligation d’information lors de la collecte de données sensibles et de profils de personnalité

Principes de base de la protection des données Le traitement doit être conforme au principe de proportionnalité, notamment: Choix du moyen de traitement Seules les données nécessaires et aptes à atteindre le but du traitement doivent être collectées Principe de minimisation des données: éviter de collecter des données personnelles si pas nécessaire (pseudonymisation, anonymisation) Conservation limitée à ce qui est nécessaire à la réalisation des finalités du traitement Principe de finalité: les données ne doivent être traitées que dans le but qui est indiqué lors de leur collecte, qui est prévu par une loi ou qui ressort des circonstances

Principes de base de la protection des données Principe de l’exactitude Principe de la sécurité des données Principe du niveau adéquat de protection

Droits de personnes concernées Droit d’être informé Droit d’accès aux données qui me concerne Droit d’opposition au traitement Droit de rectification ou d’effacement Droit d’agir en justice

Obligations des responsables de traitement (secteur privé) Mettre en œuvre les principes de la protection des données et respecter les exigences de la LPD

Obligations des responsables de traitement (secteur privé) Obligation d’annonce des fichiers (art. 11a) Traitement régulier de données sensibles ou de profils de la personnalité, ou Communication régulière de données à des tiers, à moins que Obligation légale de traitement Traitement n’est pas susceptible de menacer les droits des personnes concernées (selon art. 4 OLPD) Média à caractère périodique ou instrument de travail personnel d’un journaliste Désignation d’un conseiller à la protection des données indépendant Procédure de certification (art. 11 LPD)

Obligations des responsables de traitement (secteur privé) Obligations de mettre en place des mesures techniques et organisationnelles appropriées pour garantir la protection des données et éviter des traitements non autorisés Journalisation (données sensibles) (art. 10 OLPD) Établissement d’un règlement de traitement (art.11 OLPD) Obligation d’informer les destinataires sur l’actualité et fiabilité des données personnelles) (art. 12 OLPD)

Obligations des responsables de traitement (secteur privé) Assurer la transparence des traitements et notamment informer les personnes concernées lors de la collecte de données sensibles et de profils de la personnalité (art. 4 et 14 LPD) Assurer l’exactitude et la mise à jour des données (art. 5 LPD)

Le PFPDT Hanspeter Thür, avocat. Suppléant: Jean-Philippe Walter (Chef du secrétariat permanent) Présentation des loulous. Thür: ancien parlementaire vert ! Préposé depuis 2006 -> vient d’être renommé par le conseil féd. Doit être confirmé par le parlement.

Statut du PFPDT Nomination par le CF (approbation de l’AF) pour 4 ans – reconduction tacite indépendant et sans instructions Rattachement administratif à la ChF son budget (env. 5 mios) son personnel Non soumis au système d’évaluation des prestations régissant le personnel fédéral peut exercer une autre activité avec l’autorisation du CF Actuellement,le PFPDT occupe 17 juristes et 5 info. Nous travaillons dans 3 unités. La première unité s’occupe principalement du domaine de la finance, assurances privées et réseau sociaux. L’unité 2, à laquelle nous appartenons toutes les 2 s’occupent principalement du domaine police et sécurité, santé, assurances sociales recherches et statistiques. L’unité 3 s’occupe de la transparence, à ce sujet, le 31 août aura lieu la première journée du principe de la transparence.

Le secrétariat du PFPDT Effectifs PFPDT Postes Personnes   Préposé 0.6 1 Préposé suppléant (chef secrétariat) Unité 1 Protections des données chef juriste 4.9 6 informaticien 0.8 Information spécialiste information 2.1 3 Unité 2 Protection des données 8.2 9 coordonateur informatique 2.4 Unité 3 Transparence 2.3 Support spécialiste 1.3 2 Total: 28.2 34 Actuellement,le PFPDT occupe 17 juristes et 5 info. Nous travaillons dans 3 unités. La première unité s’occupe principalement du domaine de la finance, assurances privées et réseau sociaux. L’unité 2, à laquelle nous appartenons toutes les 2 s’occupent principalement du domaine police et sécurité, santé, assurances sociales recherches et statistiques. L’unité 3 s’occupe de la transparence, à ce sujet, le 31 août aura lieu la première journée du principe de la transparence.

Tâches du PFPDT Surveillance des organes fédéraux Surveillance des personnes privées Conseil aux personnes privées Soutien et conseil aux organes fédéraux et cantonaux Avis sur les projets législatifs de la Confédération Collaboration avec les organes de protection des données nationaux et internationaux Information / sensibilisation / formation Tenue et publication du registre des fichiers Procédure de médiation en application de la Ltrans

Collaborations Collaboration avec les autorités cantonales de protection des données Collaboration avec les autorités étrangères de protection des données Présidence T-PD Vice-présidence association francophone Schengen- dans cadre on effectue des contrôles d’ambassades (évt PC) Voilà pour ce qu’il est est des collaborations. J’en viens maintenant à ce que nous faisons, respectivement ce que nous ne pouvons pas faire.

Ce que le PFPDT fait Eclaircir les faits sur plainte ou d’office Émettre des recommandations Informer le public de ses constations et de ses recommandations s’il en va de l’intérêt général (art. 30 al.2 LPD), Qualité pour recourir contre une décision du TAF statuant sur une recommandation (art. 29 al. 4 LPD) Peut dénoncer des infractions pénales qui se poursuivent d’office Médiation Ltrans Recom= on verra dans quelques minutes en quoi consiste une recommandation.

Ce que le PFPDT ne fait pas Prendre des décisions Infliger des sanctions administratives Ex. CNIL – amende Google Sanctionner lui-même pénalement Pas de pouvoir d’approbation préalable Ex. un système d’autorisation préalable est connu des droits cantonaux, ex. vidéosurveillance Agir à la place du citoyen (art. 15, 25 LPD) Contrairement a bcp d’autorité de contrôle étranger, ex. notre pendant français la CNIL= commission nationale de l’informatique et des libertés. - autoexplicatif Cependant certaines personnes souhaiteraient que le PFPDT obtienne ce genre de prérogative en ce qui concerne les données sensibles. En effet, le législateur a considéré qu’il appartenait en premier lieu à la personne concernée d’agir devant le juge civil. Souvent les gens ne comprenne pas que nous n’agissons pas à leur place. Vous vous demandez ce que le PFPDT peut faire?

Activités principales Conseil (Art. 28 LPD) A disposition des citoyens pour toutes questions relatives à la protection des données et à la transparence  Hotline (10h-12h), emails, poste, fax, etc. Surveillance Art. 27 LPD – offices fédéraux Art. 29 LPD – secteur privé - erreur de système - enregistrement fichier (art. 11a) - information dans cadre ftd (art. 6) Information, sensibilisation, formation Rapport activités www.edoeb.admin.ch www.thinkdata.ch Alors en quoi consiste ces deux activités? Je vais d’abord brièvement vous parler de l’activité de conseil avant de vous expliquer plus en détail notre activité de surveillance.

conseillers à la PDD (dépt., offices, privé) Conseil (art. 28 LPD) question du citoyen site internet collaborateur réponse conseillers à la PDD (dépt., offices, privé) Réponse à des questions concrètes tant de nature techniques, organisationnelle ou juridique. Beaucoup d’informations concrètes disponibles sur notre site (FAQ, Lettre type, brochures). Les gens ont également la possibilité de s’adresser à nous (hotline, courrier, mail). Il est important de mentionner qu’il n’existe pas de prétention au conseil dans un cas individuel et que les avis individuel peuvent être soumis à émoluments. Attention: Notre avis ne dispense pas les gens de respecter la LPD et ne lie pas le juge.

Sensibilisation: quelques exemples www.edoeb.admin.ch Explications concernant le webtracking Outil pour l’analyse d'impact relative à la protection des données Blocage de l'utilisation d'une adresse à des fins publicitaires Méthodes de collecte de données personnelles à des fins de marketing (publicité) Formulaires d'inscription relatifs à la location d'un appartement Guide relatif à la surveillance de l’utilisation d’Internet et du courrier électronique Guide relatif aux systèmes de reconnaissance biométrique

Surveillance Processus de contrôle initialisation établissement des faits recommandation

Processus de contrôle Recommandation – privés initialisation établissement des faits recommandation recommandation du PFPDT (29 al.3) pas suivie / recours du PFPDT auprès du TAF rejetée Art. 29 al. 4 LPD Si le privé ne suit pas ou rejette la recommandation, le PFPDT peut porter l’affaire devant le tribunal administratif fédéral pour décision. Le PFPDT a qualité pour recourir contre cette décision.

Processus de contrôle Recommandation – offices fédéraux initialisation établissement des faits recommandation recommandation du PFPDT pas suivie / décision du département Art. 27 al. 5 LPD pas de réaction (30 jours) suit le PFPDT ne suit pas le PFPDT Dans le cas des offices il y a des étapes supplémentaires: Si elle n’est pas suivie dans un délai de 30 jours, le PFPDT peut porter l’affaire pour décision auprès du Département. Si le Dt décide de suivre l’avis du PFPDT, l’office a encore la possibilité de recourir au¨près du TAF Dans le cas contraire, c’est le PFPDT qui peut recourir. Jusqu’à présent, on a déjà beaucoup parlé de cette fameuse recommandation sans vraiment savoir de quoi il s’agit concrètement même si le nom donne déjà un indice. recours du PFPDT auprès du TAF recours de l’office auprès du TAF

Merci ! ? www.edoeb.admin.ch www.thinkdata.ch