But, champ d’application et mise en œuvre du droit de la personnalité des données

Photo de cottonbro sur Pexels.com

[Le droit suisse de la protection des données, c’est aussi du droit du travail !

En effet, outre le renvoi de l’art. 328 b CO, le droit de la protection des données s’applique à des degrés divers dans toutes les étapes de la gestion des ressources humaines, de l’engagement au contentieux en passant par la tenue du dossier personnel.

Or le droit suisse de la protection des données va connaître un bouleversement considérable au 2e semestre 2022 avec l’entrée en vigueur de la loi révisée sur la protection des données et de son ordonnance.

Contrairement à ce que l’on peut lire ici ou là, le nouveau droit de la protection des données va entraîner des adaptations substantielles des pratiques et des manières de faire, particulièrement pour les employeurs qui ne se sont pas adaptés au RGPD car ils n’avaient pas à le faire.

Je vais donc présenter sur ce blog quelques-unes des nouveautés à venir pendant le 2e semestre 2021.]

Le droit de la protection des données est constitué de très nombreuses normes de droit international, national ou cantonal.

La loi fédérale du 19 juin 1992 sur la protection des données (LPD ; RS 235.1) et sa nouvelle version applicable dès le 1er semestre 2022 constituent certes le cœur de la matière, mais il existe aussi quantité de dispositions spéciales dans à peu près tous les domaines du droit (banque, travail, assurances, etc.)

Il faut bien, cependant, faire des choix, ne serait-ce que pour respecter le cadre et le format de la présente publication. La LPD est le « navire amiral » de la protection des données en Suisse, elle en constitue sa grammaire, son vocabulaire, sa structure intellectuelle et logique, et rien ne serait compréhensible sans elle. Il est donc légitime de s’attarder sur ses buts, son champ d’application et sa mise en œuvre (nouveau droit), avec des contre-points du droit cantonal et du droit européen.

Concernant son but, la LPD vise à protéger la personnalité et les droits fondamentaux des personnes qui font l’objet d’un traitement de données (art. 1 LPD). L’art. 1 de la nouvelle loi fédérale du 25 septembre 2020 sur la protection des données, adoptée le 25 septembre 2020, et qui devrait renter en vigueur dans la 2e partie de 2022 (nLPD ; FF 2020 7397), parle de protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l’objet d’un traitement. On constate donc que le nouveau droit exclut les données des personnes morales de la protection, leur inclusion dans le droit de la protection des données actuel étant une particularité suisse qui posait certains problèmes pratiques en cas de transfert de données à l’étranger. Les personnes morales bénéficieront toutefois de la protection générale de leur personnalité garantie par les art. 28 ss CC.

Concernant le champ d’application personnel et matériel, la LPD régit le traitement de données concernant des personnes physiques et morales effectué par des personnes privées et des organes fédéraux (art. 2 al. 1 LPD). La notion de données personnelles est large (art. 4 nLPD) et inclut toutes les informations relatives à une personne identifiée ou identifiable, étant rappelé que les données personnelles des personnes morales seront exclues de la protection par la nLPD. Le « traitement » s’interprète également largement et recouvre toute opération relative à des données personnelles, indépendamment des moyens et procédés utilisés (art. 5 let. d nLPD).

La LPD ne s’applique pas aux données qu’une personne physique traite pour un usage exclusivement personnel et qu’elle ne communique pas à des tiers (art. 2 al. 2 let. a LPD ; art. 2 al. 2 let. a nLPD). Sont notamment considérés comme telles le contenu d’un agenda, les conversations au sein du cercle familial ou des amis, la correspondance privée et les notes que tout un chacun est amené à prendre dans l’exercice de sa profession à titre de pense-bête, du moment qu’il n’en fait qu’un usage personnel. La disposition d’exception de l’art. 2 al. 2 let. a LPD doit cependant être interprétée de manière très prudente et restrictive, le droit d’accès ne devant être limité que si cela est vraiment indispensable, et la personne qui traite les données ne doit en aucun cas y faire appel dans le but unique de contourner les prescriptions de la loi. [Arrêt du Tribunal fédéral 5C.15/2001 du 16 août 2001]. La LPD ne s’applique pas non plus aux délibérations des Chambres fédérales et des commissions parlementaires, aux procédures pendantes civiles, pénales, d’entraide judiciaire internationale ainsi que de droit public et de droit administratif, à l’exception des procédures administratives de première instance, aux registres publics relatifs aux rapports juridiques de droit privé et aux données personnelles traitées par le Comité international de la Croix-Rouge (art. 2 al. 2 LPD).

La nLPD étend l’exclusion aux traitements de données personnelles effectués par les bénéficiaires institutionnels au sens de l’art. 2 al. 1 de la loi du 22 juin 2007 sur l’Etat hôte (RS 192.12) qui jouissent de l’immunité de juridiction (art. 2 let. 2 let. c nLPD) – mais cela pouvait déjà se déduire des principes de droit international public applicables au droit des immunités. Le principe selon lequel le droit de procédure applicable devant les autorités et les tribunaux prime la LPD demeure (art. 2 al. 3 nLPD), et s’applique à toutes les lois de procédure fédérales, à l’exception des procédures administratives de première instance (i.e. celles qui aboutissement à une décision susceptible ensuite de recours).

Concernant le champ d’application géographique, l’art. 3 al. 1 nLPD prévoit que la loi s’applique aux états de fait qui déploient des effets en Suisse, même s’ils se sont produits à l’étranger. Le nouveau droit concrétise la jurisprudence actuelle : la LPD s’applique ainsi par exemple à des images prises en Suisse puis publiées sur un site à l’étranger où elles sont travaillées et d’où elles sont mises à disposition (ATF 138 II 346 Google Street View).

Comme exposé ci-dessus, la LPD s’applique au traitement de données effectué par des personnes privées ou des organes fédéraux (art. 2 al. 1 LPD ; 2 al. 1 nLPD). Elle ne s’applique dès lors pas aux traitements de données effectués par des administrations cantonales, régis par des lois cantonales spécifiques (sauf Jura et Neuchâtel où s’applique une convention intercantonale). Les différentes lois cantonales sont proches, pour ce qui est de leur contenu, de la LPD, avec quelques différences portant sur le champ d’application (administration, délégation de tâches publiques, etc.) et sur l’inclusion ou non de dispositions sur la transparence (information au public).

Il faut souligner que le droit européen de la protection des données peut aussi trouver application en Suisse. En effet, l’art. 3 du Règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, dit règlement général sur la protection des données (RGPD) permet une application extraterritoriale de celui-ci. Cette disposition vise en effet deux hypothèses. Dans la 1ère (application territoriale), le responsable du traitement est dans l’UE (art. 3 (1) RGPD). Le traitement de données est effectué dans le cadre des activités d’un établissement sur le territoire de l’Union, que le traitement ait lieu ou non dans l’UE, et que les données concernent des résidents de l’UE ou d’ailleurs. La notion d’établissement s’interprète largement et ne dépend pas de la forme juridique choisie. Une activité réelle et effective même minime, au moyen d’un établissement stable suffit. La présence d’un seul représentant peut être considérée comme suffisante, ou la fourniture d’un soutien publicitaire lié à l’activité principale par exemple. Dans la 2e (application extraterritoriale), on applique le principe du lieu du marché (Marktort-Prinzip) : i. les données personnelles d’un résident de l’UE sont traitées en lien avec des biens et/ou des services qui lui sont proposés (offre de biens ou de services); ou ii. les comportements d’individus au sein de l’UE sont « suivis » (suivi de comportements). Pour ce qui est de l’offre de biens ou de services, l’accessibilité à un site web ne suffit pas, par exemple, il faut avoir la volonté de cibler effectivement des clients dans l’UE. Peuvent être des indices l’utilisation d’une langue ou d’une monnaie de l’UE, le fait de passer des commandes dans cette langue, le fait de faire référence à des clients et des utilisateurs dans l’UE et de leur destiner des offres spéciales, etc. Un service de commerce en ligne devrait ainsi être clairement orienté vers des destinataires et consommateurs dans l’UE pour relever de l’art. 3 (2) RGPD. Pour ce qui est du suivi d’un comportement qui a lieu au sein de l’UE, il faut procéder spécifiquement à un suivi de personnes afin de créer des profils. Il n’est par contre pas besoin de viser explicitement le marché de l’UE, contrairement à l’hypothèse de l’offre de biens ou de services dans l’UE. Le simple fait d’avoir un site informatique accessible depuis l’UE ne suffit donc pas.

On remarquera pour finir que la nLPD ne prévoit pas de « période de grâce » pour sa mise en œuvre ; elle sera donc pleinement applicable dès son entrée en vigueur, contrairement au mécanisme du RGPD qui prévoyait une période de deux ans entre sa mise en vigueur et son applicabilité (art. 99 RGPD). Cette absence apparaît regrettable eu égard à l’ampleur des adaptations et des mesures qui devront être mises en œuvre pour un nombre très important de responsables de traitement en Suisse (aurait-elle un lien avec la lenteur d’escargot du législateur pour débattre et adopter le nouveau droit ?) Par ailleurs, la nLPD n’aura pas d’effet rétroactif, ce qui entraîne par exemple qu’une information au sens de l’art. 19 nLPD ne sera pas exigible si les données ont été collectées avant l’entrée en vigueur de la nLPD et les buts et finalités du traitement demeurent inchangés.

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans nouvelle LPD, Protection de la personnalité, Protection des données, RGPD | Tagué , , , , , , , , | Laisser un commentaire

Droit suisse de la protection des données: définitions

Photo de Snapwire sur Pexels.com

[Le droit suisse de la protection des données, c’est aussi du droit du travail !

En effet, outre le renvoi de l’art. 328 b CO, le droit de la protection des données s’applique à des degrés divers dans toutes les étapes de la gestion des ressources humaines, de l’engagement au contentieux en passant par la tenue du dossier personnel.

Or le droit suisse de la protection des données va connaître un bouleversement considérable au 2e semestre 2022 avec l’entrée en vigueur de la loi révisée sur la protection des données et de son ordonnance.

Contrairement à ce que l’on peut lire ici ou là, le nouveau droit de la protection des données va entraîner des adaptations substantielles des pratiques et des manières de procéder, particulièrement pour les employeurs qui ne se sont pas adaptés au RGPD car ils n’avaient pas à le faire.

Je vais donc présenter sur ce blog quelques-unes des nouveautés à venir pendant le 2e semestre 2021.]

Selon l’art. 5 let. a de la nouvelle loi fédérale sur la protection des données, qui devrait entrer en vigueur dans le 2e semestre 2022 (FF 2020 7397), on entend par données personnelles toutes les informations concernant une personne physique identifiée ou identifiable.

La définition des données personnelles est modifiée par rapport au droit actuel dans la mesure où la nLPD ne s’applique plus aux personnes morales. Constituent ainsi des données personnelles toutes les informations qui se rapportent à une personne physique identifiée ou identifiable. Est réputée identifiable la personne physique qui peut être identifiée, directement ou indirectement, c’est-à-dire par corrélation d’informations tirées des circonstances ou du contexte (numéro d’identification, données de localisation, éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale). L’identification peut résulter d’un seul élément (numéro de téléphone, d’immeuble, numéro AVS, empreintes digitales) ou du recoupement de plusieurs informations (adresse, date de naissance et état civil). Une possibilité purement théorique qu’une personne soit identifiée n’est pas suffisante. Il convient de prendre en compte dans chaque cas d’espèce l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour identifier la personne. Le caractère raisonnable des moyens en question doit être évalué au regard de l’ensemble des circonstances, telles que le coût de l’identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de leur évolution. La loi ne s’applique pas aux données qui ont été anonymisées si une ré-identification par un tiers est impossible (les données ont été anonymisées complètement et définitivement) ou ne paraît possible qu’au prix d’efforts tels qu’aucun intéressé ne s’y attèlera. Cette dernière règle vaut aussi pour les données pseudonymisées.

La personne concernée (art. 5 let.b nLPD) est la personne physique dont les données personnelles font l’objet d’un traitement.

Les données personnelles sensibles (données sensibles – art. 5 let. c nLPD sont (i) les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales, (ii) les données sur la santé, la sphère intime ou l’origine raciale ou ethnique, (iii) les données génétiques, soit les informations relatives au patrimoine génétique d’une personne obtenues par une analyse génétique, y compris le profil d’ADN (art. 3 let. l, de la loi fédérale du 8 octobre 2014 sur l’analyse génétique humaine (LAGH ; RS 810.12)), (iv) les données biométriques identifiant une personne physique de manière univoque, soit les données personnelles résultant d’un traitement technique spécifique et relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique qui permettent ou confirment son identification unique (empreintes digitales,  images faciales, iris, voix etc.) ; ces données doivent impérativement résulter d’un traitement technique spécifique qui permet l’identification ou l’authentification unique d’un individu (contrairement à une simple photographie p.ex.), (v) les données sur des poursuites ou sanctions pénales et administratives, et (vi) les données sur des mesures d’aide sociale.

Est un traitement (art. 5 let. d nLPD) toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données; la liste des opérations entrant en ligne de compte n’est comme aujourd’hui pas exhaustive, les opérations de traitements pouvant prendre les formes les plus diverses (organisation, structuration, adaptation, extraction de données, etc.)

On relèvera que la nLPD renonce à la notion de « fichier » (art. 3 let. g de loi fédérale du 19 juin 1992 sur la protection des données (LPD ; RS 235.1) pour celle de « traitement ».  En effet, compte tenu des nouvelles technologies, les données peuvent aujourd’hui être exploitées comme un fichier, alors même qu’elles sont disséminées. Un exemple parlant est le profilage, pendant lequel on va chercher des données dans différentes sources, non constitutives de fichiers, afin d’évaluer certaines caractéristiques d’une personne. Selon l’aLPD, ces activités échappaient aux dispositions de la loi impliquant la présence d’un fichier, comme le droit d’accès (art. 8 LPD) ou le devoir d’information (art. 14 LPD), alors que ce sont justement les situations de ce type qui nécessitent une plus grande transparence.

Est une communication (art. 5 let. e nLPD)  le fait de transmettre des données personnelles ou de les rendre accessibles.

Le profilage (art. 5 let. f nLPD)  est toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique. La notion remplace celle de «profil de la personnalité» telle qu’elle est définie à l’art. 3 let. d LPD. Le profil de la personnalité est le résultat d’un traitement et traduit ainsi quelque chose de statique. A l’inverse, le profilage désigne une forme particulière de traitement, et constitue donc un processus dynamique. Ce dernier est par ailleurs toujours orienté vers une finalité particulière. Il est défini comme l’évaluation de certaines caractéristiques d’une personne sur la base de données personnelles traitées de manière automatisée, afin notamment d’analyser ou de prédire son rendement au travail, sa situation économique, sa localisation, sa santé, son comportement, ses préférences ou ses déplacements. L’analyse de ces caractéristiques peut par exemple avoir pour but de déterminer si une personne est indiquée pour une certaine activité. Autrement dit, le profilage se caractérise par le fait qu’on procède à une évaluation automatisée de données personnelles afin de pouvoir évaluer, d’une manière également automatisée, les caractéristiques de la personne. Les données issues d’un profilage sont en principe des données personnelles, qui, selon les circonstances, peuvent aussi constituer des données sensibles.

Le profilage à risque élevé (art. 5 let. g nLPD) est  tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu’il  conduit à un appariement de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique.

Est une violation de la sécurité des données (art. 5 let. h nLPD) toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données, et ce indépendamment de la question de savoir si la violation est intentionnelle ou non licite ou illicite. Par ailleurs les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données. Ce qui compte, c’est que l’événement en question ait eu lieu. Peu importe que la divulgation ou un accès non autorisés se soient effectivement produits ou aient simplement été rendus possibles. En effet, lorsqu’un support de données a été perdu, il est souvent difficile de prouver que les données qu’il contenait ont été vues ou utilisées par des personnes non autorisées. C’est pourquoi la perte de cet objet constitue en elle-même une violation de la sécurité des données. Ce sont plutôt l’ampleur et la signification d’une telle violation qui sont déterminantes pour les mesures à prendre, en particulier pour l’estimation du risque.

Est un organe fédéral (art. 5 let. i nLPD) l’autorité fédérale, le service fédéral ou la personne chargée d’une tâche publique de la Confédération.

Le responsable du traitement (art. 5 let. j nLPD) est la personne privée ou l’organe fédéral qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données personnelles. Cette notion remplace celle de « maître du fichier » de l’art. 3 let. i LPD. Dit autrement, c’est la personne qui détermine les paramètres essentiels du traitement des donnes et sa finalité, et qui en assume donc la responsabilité. Il peut s’agir de responsables conjoints (cas de figure que le RGPD mentionne explicitement à l’art. 4 ch. 7).

Le sous-traitant (art. 5 let. k nLPD)  est la personne privée ou l’organe fédéral qui traite des données personnelles pour le compte du responsable du traitement. Le traitement est donc effectué conformément à des instructions données définissant les paramètres essentiels du traitement. Le contrat liant le responsable du traitement et le sous-traitant peut être de nature diverse. Il peut s’agir d’un mandat (art. 394 ss CO), d’un contrat d’entreprise (art. 363 ss CO) voire d’un contrat mixte selon les obligations du sous-traitant. Le sous-traitant cesse d’être un tiers à compter du moment où il débute ses activités contractuelles pour le compte du responsable du traitement. La délimitation entre responsable de traitement et sous-traitant peut s’avérer problématique. On s’inspirera notamment sur ce point de : European Data Protection Board (EDPB), Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 1.0, 2 septembre 2020. L’art. 9 nLPD définit plus précisément les conditions et obligations du rapport de sous-traitance, dont la violation peut entraîner une sanction pénale (amende jusqu’à CHF 250’000.—cf. 61 let. b nLPD).

Le consentement ne fait pas partie des définitions de l’art. 5 nLPD, l’art 6 al. 6 et al. 7 se contentant d’énoncer que la personne concernée ne consent valablement que si elle exprime librement sa volonté concernant un ou plusieurs traitements déterminés et après avoir été dûment informée, certaines hypothèses requérant par ailleurs un consentement « exprès ». Le législateur n’a ainsi pas voulu donner de définition du consentement spécifique au droit de la protection des données.

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans nouvelle LPD, Protection de la personnalité, Protection des données | Tagué , , , , | Laisser un commentaire

Accès indu aux emails privés d’un cadre, licenciement immédiat

Photo de cottonbro sur Pexels.com

Selon l’art. 337 al. 1 1re phrase CO, l’employeur et le travailleur peuvent résilier immédiatement le contrat en tout temps pour de justes motifs. Doivent notamment être considérées comme tels toutes les circonstances qui, selon les règles de la bonne foi, ne permettent pas d’exiger de celui qui a donné le congé la continuation des rapports de travail (cf. art. 337 al. 2 CO).

Mesure exceptionnelle, la résiliation immédiate pour justes motifs doit être admise de manière restrictive. D’après la jurisprudence, les faits invoqués à l’appui d’un renvoi immédiat doivent avoir entraîné la perte du rapport de confiance qui constitue le fondement du contrat de travail. Seul un manquement particulièrement grave du travailleur justifie son licenciement immédiat; si le manquement est moins grave, il ne peut entraîner une résiliation immédiate que s’il a été répété malgré un avertissement. Par manquement du travailleur, on entend en règle générale la violation d’une obligation découlant du contrat de travail, mais d’autres incidents peuvent aussi justifier une résiliation immédiate. Une infraction pénale commise au détriment de l’employeur constitue, en principe, un motif justifiant le licenciement immédiat du travailleur. Le comportement des cadres doit être apprécié avec une rigueur accrue en raison du crédit particulier et de la responsabilité que leur confère leur fonction dans l’entreprise.

Selon l’art. 13 Cst., toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu’elle établit par la poste et les télécommunications. Le Tribunal fédéral a considéré que le courrier électronique par le biais d’Internet était couvert par le secret des communications (ATF 126 I 50 consid. 6a p. 65 s.). Le simple fait de connaître les adresses et la période à laquelle l’utilisateur a envoyé ou reçu des messages constitue déjà une violation de ce secret (cf. ATF 126 I 50 consid. 6b p. 66). Certes, les droits fondamentaux servent en premier lieu à défendre les individus contre les atteintes des pouvoirs publics, mais leur portée peut se révéler utile dans la détermination de ce qui est tolérable dans les relations entre particuliers (cf. ATF 119 Ia 28 consid. 2).

Sur le plan pénal, l’art. 143bis CP punit celui qui, sans dessein d’enrichissement, se sera introduit sans droit, au moyen d’un dispositif de transmission de données, dans un système informatique appartenant à autrui et spécialement protégé contre tout accès de sa part. Tombe sous le coup de cette disposition la personne qui, généralement par défi, parvient à pénétrer dans un système informatique protégé contre tout accès indu. Il suffit qu’il n’y ait plus de barrières informatiques qui puissent sérieusement l’empêcher de prendre connaissance des données. Il s’agit d’une violation du domicile informatique d’autrui.

Dans les relations entre particuliers enfin, l’art. 28 CC garantit le droit au respect de la sphère privée, qui comprend les événements que chacun veut partager avec un nombre restreint d’autres personnes. En font partie les informations de nature personnelle transmises au moyen de la messagerie électronique. L’irruption d’un tiers dans cette sphère, notamment pour rassembler des informations, constitue une atteinte à la personnalité. Cette atteinte est d’autant plus grave qu’elle concerne la sphère secrète, c’est-à-dire des événements dont l’individu n’entend partager la connaissance qu’avec des personnes auxquelles ces faits ont été spécialement confiés, telles les données sur la santé ou relevant de la vie professionnelle. Selon l’art. 28 al. 2 CC, une atteinte est illicite, à moins qu’elle ne soit justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi.

En l’espèce, il ressort des constatations cantonales, d’une manière qui lie le Tribunal fédéral, que le demandeur, auquel le suivi des affaires de la société avait été confié pendant la maladie de son directeur, s’était aménagé un accès, depuis son ordinateur personnel, à toute la messagerie électronique de son patron, alors qu’il connaissait le caractère privé de l’adresse du directeur. Grâce à ce système, il pouvait, depuis le bureau ou la maison, entrer dans la messagerie de ce dernier sous ses propres données, sans avoir à taper le nom d’utilisateur ni le mot de passe du directeur. Il a été relevé que celui-ci n’était pas au courant de la déviation, dont il n’a eu connaissance qu’en juin 2000, lors de la réparation de son ordinateur. Il ressort également des faits constatés que ni la mission de gestion confiée au demandeur, ni un intérêt prépondérant de la défenderesse ne justifiaient une telle déviation. Dans ce contexte, même s’il n’a pas été possible de prouver que le demandeur ait pris connaissance des messages de caractère privé ou, a fortiori, qu’il ait divulgué les informations s’y trouvant, le seul fait qu’il se soit aménagé la possibilité d’y avoir librement accès porte déjà atteinte au secret des communications et constitue une violation de la sphère intime du directeur, voire une infraction pénale. La cour cantonale pouvait donc, sans abuser de son pouvoir d’appréciation, admettre qu’un tel comportement était de nature à entraîner la perte du rapport de confiance constituant le fondement du contrat de travail, ce qui permettait à l’employeur d’y mettre fin avec effet immédiat, sans avertissement préalable.

Le comportement du demandeur, qui s’est créé la possibilité de consulter des informations de nature personnelle qui ne lui étaient pas destinées, ne saurait être assimilé au simple fait de copier une liste de clients de son employeur, sans exploiter ni communiquer ces données.

(ATF 130 III 28, consid. 4.1-4.3)

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans Licenciement immédiat, Protection de la personnalité, Protection des données | Tagué , , , | Laisser un commentaire

Le traitement illicite de données par une personne privée

Photo de Kartik Kacha sur Pexels.com

[Le droit suisse de la protection des données, c’est aussi du droit du travail !

En effet, outre le renvoi de l’art. 328 b CO, le droit de la protection des données s’applique à des degrés divers dans toutes les étapes de la gestion des ressources humaines, de l’engagement au contentieux en passant par la tenue du dossier personnel.

Or le droit suisse de la protection des données va connaître un bouleversement considérable au 2e semestre 2022 avec l’entrée en vigueur de la loi révisée sur la protection des données et de son ordonnance.

Contrairement à ce que l’on peut lire ici ou là, le nouveau droit de la protection des données va entraîner des adaptations substantielles des pratiques et des manières de procéder, particulièrement pour les employeurs qui ne se sont pas adaptés au RGPD car ils n’avaient pas à le faire.

Je vais donc présenter sur ce blog quelques-unes des nouveautés à venir pendant le 2e semestre 2021.]

Le traitement de données par des personnes privées en droit suisse n’a pas besoin de reposer sur un motif justificatif, contrairement à ce qui prévaut en droit européen (art. 12-13 LPD ; 30-31 nLPD ; 6 et 9 RGPD). Il n’est en effet illicite que s’il constitue une atteinte à la personnalité de la personne concernée, illicéité qui doit alors être justifiée par un fait justificatif. Il y a là une différence fondamentale entre le droit européen et le droit suisse de la protection des données, différence que le nouveau droit n’a pas modifiée.

Nous traiterons d’abord du traitement illicite selon la LPD, des motifs justificatifs à celui-ci, du régime instauré par  la nouvelle LPD (nLPD), en concluant avec quelques points de comparaison avec le RGPD.

Traitement illicite (LPD)

Quiconque traite des données personnelles ne doit pas porter une atteinte illicite à la personnalité des personnes concernées (art. 12 al. 1 LPD). Une atteinte à la personnalité est par définition illicite car les droits de la personnalité sont des droits absolus.

L’atteinte est un trouble dans la personnalité de la personne concernée par le traitement du fait du comportement d’un tiers. Il y faut donc une certaine intensité qui dépasse de simples usages sociaux. Il y a lieu de déterminer pour chaque traitement les conséquences effectives ou potentielles qu’il présente pour les droits de la personne concernée (droit de décider de son comportement en toute indépendance et à l’abris du regard d’autrui, droit d’organiser ses relations sociales en toute autonomie, droit au libre épanouissement de sa personnalité économique, etc.) [On renverra ici aux développements relatifs à la protection de la personnalité en droit suisse contenus dans une note à venir sur ce blog.]

Selon l’art. 12 al. 2 LPD, personne n’est en droit notamment de:    a. traiter des données personnelles en violation des principes de licéité, bonne foi, proportionnalité, finalité et reconnaissabilité, exactitude et sécurité sans motifs justificatifs (cf. art. 4, 5 al. 1 et 7 al. 1 LPD) ; b. traiter des données contre la volonté expresse de la personne concernée sans motifs justificatifs ;   c. communiquer à des tiers des données sensibles ou des profils de personnalité sans motifs justificatifs. L’art. 12 al. 2 LPD n’est pas exhaustif : d’autres atteintes illicites peuvent relever de la violation d’autres dispositions ; elles ne bénéficieront pas alors de la présomption d’illicéité de 1’art. 12 al. 2 LPD, et la personne concernée devra alors démontrer dans le cas d’espèce l’existence d’une atteinte illicite à la personnalité. Dans l’hypothèse où le traitement de données ne rentrerait pas dans le champ d’application de la LPD, la personne concernée pourra encore se prévaloir de la protection générale de la personnalité découlant des art. 28 ss CC.

L’art. 12 al. 2 LPD facilite la preuve de l’atteinte à la personnalité. Une fois prouvée, l’atteinte est alors présumée illicite et l’auteur du traitement ne peut pas apporter la preuve du contraire. Par contre, il pourra alors évoquer soit l’absence de toute atteinte (art. 12 al. 3 LPD : présomption réfragable d’absence d’atteinte si la personne concernée a rendu les données accessibles à tout un chacun et ne s’est pas opposée formellement au traitement), soit des motifs justificatifs au sens de l’art. 13 LPD (consentement de la victime, intérêt prépondérant privé ou public, loi).

Motifs justificatifs (LPD)

Concernant les motifs justificatifs, une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public ou par la loi (art. 13 al. 1 LPD).

Pour ce qui est du consentement (art. 4 al. 5 LPD), lorsqu’il est requis pour justifier le traitement de données personnelles la concernant, la personne concernée ne consent valablement que si elle exprime sa volonté librement et après avoir été dûment informée (consentement libre et éclairé). Lorsqu’il s’agit de données sensibles et de profils de la personnalité, son consentement doit être au surplus explicite.

Un intérêt prépondérant peut lever l’illicéité de l’ensemble des traitements de données concernés, d’une partie d’entre eux ou seulement du traitement de certaines données.

La condition de l’intérêt public prépondérant est remplie lorsqu’une atteinte est destinée à procurer un avantage à la collectivité ou à une multitude de personnes. Ce critère est rarement invoqué, ou seul, dans la mesure où il est souvent déjà traduit dans le droit. On peut penser toutefois à l’intérêt de la collectivité des assurés de ne pas payer des primes trop élevées pour justifier la surveillance des assurés par exemple (assurance RC : ATF 136 III 410).

L’illicéité du traitement de données peut être levée en présence d’un intérêt privé prépondérant. Il faut établir l’intérêt de l’auteur du traitement à l’atteinte causée, le fait qu’il s’agisse d’un intérêt digne de protection, puis l’intérêt de la personne concernée au non-traitement et enfin procéder à une pesée des intérêts.

L’art. 13 al. 2 LPD donne une liste non exhaustive d’intérêts privés prépondérants de l’auteur du traitement qui doivent être pris en considération : intérêts fondés sur l’activité économique (a, b et c), besoins particuliers des médias (d et f) et traitements dans un but ne se rapportant pas à des personnes (e – statistiques p.ex.), étant souligné que les principes généraux doivent aussi être respectés.

L’intérêt prépondérant privé en raison de l’activité économique entre notamment en considération si :

a. le traitement est en relation directe avec la conclusion ou l’exécution d’un contrat et les données traitées concernent le cocontractant ; au stade précontractuel, l’auteur du traitement peut ainsi prendre des renseignements sur un partenaire contractuel potentiel (solvabilité, compétences, etc.) ; au stade de l’exécution, cela peut couvrir des traitements de données relatifs à la solvabilité du débiteur, aux retards ou absences du travailleur, etc. ; ce motif justificatif peut s’appliquer à la collecte de données, à leur traitement, à leur conservation, voire à leur communication à des tiers (autres entités d’un groupe, conseillers externes, auxiliaires, etc.) pour autant qu’il y ait un lien avec la conclusion ou l’exécution  contrat ;

b. le traitement s’inscrit dans un rapport de concurrence économique actuel ou futur avec une autre personne, à condition qu’aucune donnée personnelle traitée ne soit communiquée à des tiers ; les renseignements collectés peuvent concerner des concurrents actuels ou potentiels, quels que soient leurs formes juridiques, le type ou l’ampleur de leur activité, leur localisation, etc. ; les données doivent notamment être dans un rapport étroit avec un rapport de concurrence économique et être recueillies licitement, et servir uniquement à des fins internes (pas de communication à des tiers, mais à des employés, des auxiliaires, des mandataires, etc.)

c. les données personnelles sont traitées dans le but d’évaluer le crédit d’une autre personne, à condition qu’elles ne soient ni sensibles ni constitutives de profils de la personnalité et qu’elles ne soient communiquées à des tiers que si ceux-ci en ont besoin pour conclure ou exécuter un contrat avec la personne concernée ; cela vise essentiellement les instituts indépendants d’évaluation de crédit ou les agences de renseignement économique, mais aussi l’évaluation de crédit faite par une entreprise commerciale ou industrielle en vue d’évaluer le crédit de ses clients actuels ou potentiels (application des art. 13 al. 2 let. a et c) ;

L’intérêt prépondérant privé en faveur des médias (art. 13 al. 2 let. d ou f LPD) entre en considération lorsque les données personnelles sont traitées de manière professionnelle exclusivement en vue d’une publication dans la partie rédactionnelle d’un média à caractère périodique ou lorsque les données recueillies concernent une personnalité publique dans la mesure où ces données se réfèrent à son activité publique. Ici aussi l’intérêt privé prépondérant doit être mis en balance avec l’intérêt de la personne concernée au non-traitement.

L’intérêt prépondérant privé (art. 13 al. 2 let. e LPD) en raison du but ne se rapportant pas à des personnes peut être invoqué notamment dans le cadre de la recherche, de la planification ou de la statistique, à condition que les résultats soient publiés sous une forme ne permettant pas d’identifier les personnes concernées.

 Le maître du fichier peut faire valoir d’autres intérêts privés dont il soutient qu’ils seraient prépondérants.

Une atteinte à la personnalité peut enfin être justifiée par la loi (art. 13 al. 1 LPD). Dans ce cas, c’est le législateur qui a procédé à titre préalable à la pesée des intérêts entre ceux de l’auteur du traitement et ceux de la personne concernée. La norme légale peut être de droit fédéral ou cantonale, de droit public ou privé, il peut s’agir d’une base légale formelle ou matérielle, et elle peut ordonner un traitement de données, le permettre, le présupposer, etc. Si un tel motif justificatif existe, il ne peut être invoqué que pour le but prévu par la loi elle-même

La nouvelle LPD

A teneur de l’art. 30 al. 1 nLPD, celui qui traite des données personnelles ne doit pas porter une atteinte illicite à la personnalité des personnes concernées.

Selon l’art. 30 al. 2 nLPD, constitue notamment une atteinte à la personnalité le fait de: a. traiter des données personnelles en violation des principes définis aux art. 6 et 8 nLPD [licéité, bonne foi, proportionnalité, exactitude, sécurité, etc. ;  la protection des données dès la conception et la protection par défaut (art. 7 nLPD) ne sont pas des principes au sens de l’art. 30 al. 2 nLPD, mais bien plutôt des obligations à la charge du responsable de traitement ; en ce sens il est donc normal que leur violation ne rentre pas dans le mécanisme des art. 30-31, i.e. présomption d’illicéité et faits justificatifs] ; b. traiter des données personnelles contre la manifestation expresse de la volonté de la personne concernée [c’est le droit d’opposition, ou opt-out, qui matérialise le droit à l’auto-détermination en matière de données figurant à l’art. 13 al. 2 Cst.] ; c. communiquer à des tiers des données sensibles.

L’art. 30 al. 2 nLPD prévoit donc une présomption irréfragable d’atteinte à la personnalité dans les trois hypothèses qu’il décrit. A nouveau, la disposition n’est pas exhaustive, et d’autres atteintes à la personnalité pourront découler de la violation d’autres normes, à ceci près qu’elles ne bénéficieront alors pas de la présomption et devront être démontrées dans le cas d’espèce. Comme dans la LPD actuelle, on considérera en général qu’il n’y a pas d’atteinte lorsque la personne concernée a rendu les données personnelles accessibles à tout à chacun et ne s’est pas opposée expressément au traitement (art. 30 al. 3 nLPD ; voir aussi art. 12 al. 3 LPD).

Concernant les motifs justificatifs, ceux-ci ressemblent fortement au droit actuel. Une atteinte à la personnalité est ainsi illicite à moins d’être justifiée par le consentement de la personne concernée, par un intérêt privé ou public prépondérant, ou par la loi (art. 31 al. 1 nLPD).

Le motif justificatif du consentement de la personne concernée, comme dans le droit actuel, suppose que le consentement soit libre et éclairé, et que la personne n’ait pas subi de pression ou de menace déraisonnable directe ou indirecte de la part du responsable de traitement ou d’un tiers. Cela suppose notamment que la personne concernée ait reçu une information objective, complète et compréhensible sur le traitement concerné, en particulier sur le responsable du traitement, les finalités, le type et l’étendue des données traitées, les opérations de traitement envisagées, etc. Le consentement peut par exemple se manifester en cochant une case sur un site web ; il doit être donné par un acte clair et positif (pas de consentement par abstention).

Selon l’art. 31 al. 2 nLPD, les intérêts prépondérants du responsable du traitement entrent notamment en considération dans les cas suivants: a. le traitement est en relation directe avec la conclusion ou l’exécution d’un contrat et les données traitées concernent le cocontractant; b. le traitement s’inscrit dans un rapport de concurrence économique actuel ou futur avec une autre personne, à condition toutefois qu’aucune donnée personnelle traitée ne soit communiquée à des tiers; ne sont pas considérées comme des tiers au sens de cette disposition les entreprises appartenant au même groupe que le responsable du traitement; c. les données personnelles sont traitées dans le but d’évaluer la solvabilité de la personne concernée pour autant que les conditions suivantes soient réunies: (1) il ne s’agit pas de données sensibles ni d’un profilage à risque élevé, (2) les données ne sont communiquées à des tiers que s’ils en ont besoin pour conclure ou exécuter un contrat avec la personne concernée, (3) les données ne datent pas de plus de dix ans et (4)  la personne concernée est majeure; d. les données personnelles sont traitées de manière professionnelle exclusivement en vue d’une publication dans la partie rédactionnelle d’un média à caractère périodique ou, si la publication n’a pas lieu, servent exclusivement d’instrument de travail personnel;  e. les données personnelles sont traitées à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, si les conditions suivantes sont réunies: (1) le responsable du traitement anonymise les données dès que la finalité du traitement le permet; si une anonymisation est impossible ou exige des efforts disproportionnés, il prend des mesures appropriées afin que les personnes concernées ne puissent pas être identifiées, (2) s’il s’agit de données sensibles, le responsable du traitement ne les communique à des tiers que sous une forme ne permettant pas d’identifier la personne concernée; si cela n’est pas possible, des mesures doivent être prises qui garantissent que les tiers ne traitent les données qu’à des fins ne se rapportant pas à des personnes, (3) les résultats sont publiés sous une forme ne permettant pas d’identifier les personnes concernées; f. les données personnelles recueillies concernent une personnalité publique et se réfèrent à son activité publique.

La liste de l’art. 31 al. 2 nLPD est non exhaustive. On devra procéder, dans chaque cas d’espèce, à une pesée des intérêts entre les intérêts de la personne concernée au non traitement et ceux du responsable du traitement à ce que celui-ci ait lieu. La liste reprend pour l’essentiel celle du droit actuel, avec pour l’essentiel les ajouts suivants : (i) données recueillies concernant une personnalité publique et se référant à une activité publique, mais cela découlait déjà de la jurisprudence, et (ii) certaines restrictions concernant les données traitées dans le but d’évaluer la solvabilité de la personne concernée.

Le motif de l’intérêt public, comme en droit actuel, sera assez peu fréquemment réalisée, car ledit intérêt découlera de la loi. Il y a intérêt public en tout cas lorsqu’une atteinte est destinée à procurer un avantage à la collectivité ou au moins à une pluralité de personne.

Quant à la loi, comme motif justificatif, il s’agira, comme actuellement, d’une disposition de droit cantonal ou fédéral qui impose le traitement, le permet ou le suppose en lien avec d’autres obligations qu’elle contient. La pesée d’intérêt, ici, est supposée avoir été (bien ?) faite par le législateur. On pensera par exemple aux art. 957 et 962 CO (obligation de conserver des pièces comptables), l’enregistrement de conversations téléphoniques lors de commandes (art. 179 quinquies al. 1 let. b CP), etc.

RGPD

Le RGPD connaît un système différent de celui de la LPD. Le motif justificatif s’applique en effet au traitement en lui-même, et non à l’atteinte à la personnalité. Les données ne peuvent ainsi être traitées que sur la base d’un des motifs de l’art. 6 RGPD. Le traitement portant sur des catégories particulières de données à caractère personnel est interdit, avec certaines exceptions (art. 9 RGPD). Enfin, le traitement de données à caractère personnel relatives aux condamnations pénales et aux infractions nécessite une base légale ou le contrôle d’une autorité publique (art. 10 RGPD).

La justification du traitement selon l’art. 6 RGPD peut ainsi découler du consentement libre de la personne concernée (art. 7 RGPD), des intérêts légitimes du responsable du traitement ou d’un tiers (à moins que ne prévalent les intérêts de la personne concernée), de ce qui est nécessaire à l’exécution d’un contrat ou au respect d’une obligation légale, de la sauvegarde des intérêts vitaux d’une personne physique ou de ce qui est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique.

L’interdiction de traiter des données sensibles (art. 9 RGPD) souffre quant à elle des motifs justificatifs suivants : consentement explicite de la personne concernée ; traitement nécessaire en matière de droit du travail, de la sécurité sociale et de la protection sociale ; sauvegarde d’intérêts vitaux ; traitement par un organisme à but non lucratif à des fins politiques, philosophiques, religieuses ou syndicales ; données rendues publiques par la personne concernée ; traitement nécessaire à une action en justice ou pour des juridictions agissant dans le cadre de leurs fonctions juridictionnelles ; motifs d’intérêts publics importants sur la base du droit de l’Union ou du droit d’un Etat membre ; traitement nécessaire à des fins de médecine préventive, de médecine du travail, de gestion des systèmes et services de soins de santé ou de protection sociale ; traitement lié à des motifs d’intérêts publics dans le domaine de la santé publique ; traitement nécessaire à des fins archivistiques, de recherche scientifique ou historique ou à des fins statistiques.

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans nouvelle LPD, Protection de la personnalité, Protection des données, RGPD | Tagué , , , , , , , , | Laisser un commentaire

COVID-19 : peut-on contraindre les salariés à se faire vacciner ou à se faire tester ?

Photo de Karolina Grabowska sur Pexels.com

Introduction

Je reçois de nombreux appels de salariés qui subissent des pressions de leurs employeurs pour se faire vacciner ou tester périodiquement. Les déclarations récentes à l’emporte-pièce de certains politiciens en Suisse romande et en France contribuent largement à ces inquiétudes, dont on dira aussi qu’elles traduisent un climat au travail qui se détériore franchement.

Il importe de rappeler à titre liminaire que ces questions n’ont pas encore fait l’objet de jurisprudence, à ma connaissance, et qu’elles sont controversées même parmi les praticiens. Par ailleurs, les réponses dépendent pour l’essentiel des circonstances du cas d’espèce : type d’activité, contacts avec la clientèle, implication de populations « à risque », etc.

Cela étant dit, on peut donner les indications générales suivantes :

Il n’existe pas d’obligation vaccinale en Suisse.

L’art. 22 de la loi fédérale du 28 septembre 2012 sur la lutte contre les maladies transmissibles de l’homme (Loi sur les épidémies, LEp ; RS 818.101), entrée en vigueur le 1er janvier 2016, prévoit certes que les « (…) cantons peuvent déclarer obligatoires des vaccinations pour les groupes à risques, pour les personnes particulièrement exposées et pour les personnes exerçant certaines activités, pour autant qu’un danger sérieux soit établi. »

Les vaccinations obligatoires constituent une atteinte au droit à la liberté personnelle (art. 10, al. 2, Cst.). L’art. 36 Cst. n’autorise de telles restrictions des droits fondamentaux que si elles sont: 1) fondées sur une base légale suffisante; 2) justifiées par un intérêt public (maladie très contagieuse avec une évolution potentiellement très grave); et 3) proportionnelles au but visé. Face à une maladie infectieuse grave, se propageant rapidement et provoquant de nombreux décès, la vaccination obligatoire pourrait s’imposer pour certaines catégories de personnes. Cette option stratégique est réservée aux cas où le but ne peut pas être atteint par d’autres mesures. (FF 2011 360)

L’art. 38 al. 1 de l’ordonnance du 29 avril 2015 sur la lutte contre les maladies transmissibles de l’homme (Ordonnance sur les épidémies, OEp ; RS 818.101.1) prévoit que pour déterminer un « danger sérieux » au sens de l’art. 22 LEp, les autorités cantonales compétentes évaluent les éléments suivants: degré de gravité d’une éventuelle maladie et son risque de propagation; menace pour les personnes particulièrement vulnérables; situation épidémiologique au niveau cantonal, national et international en concertation avec l’OFSP; efficacité attendue d’une éventuelle obligation de vaccination; pertinence et efficacité d’autres mesures pour enrayer le risque sanitaire et leur efficacité. L’al. 2 précise qu’une obligation de vaccination pour des personnes exerçant certaines activités, en particulier dans le cadre d’établissements de soins, doit être limitée aux domaines dans lesquels il existe un risque accru de propagation de la maladie ou de mise en danger de personnes particulièrement vulnérables. Selon l’al. 3, une obligation de vaccination doit avoir une durée limitée ; elle ne peut pas être exécutée par contrainte physique.

L’obligation vaccinale ne peut donc pas être exécutée sous la contrainte physique (art. 38 al. 3 OEp), et les dispositions pénales de la LEp ne sanctionnent pas les récalcitrants.

Cela étant dit, il peut y avoir une contrainte « indirecte ». En effet, les récalcitrants peuvent être restreints dans l’accès à certaines professions ou interdits de certaines activités (art. 38 LEp) ou mis en quarantaine ou à l’isolement (art. 35 LEp).

Dans ce contexte, le droit au salaire des récalcitrants pourrait être remis en question.

Le sujet est complexe, mais on retient en effet généralement que le droit au paiement du salaire (art. 324a et 119 al. 3 CO) n’existe qu’en cas d’empêchement non fautif de travailler dû à une cause inhérente à la personne du travailleur, telle que maladie, accident, accomplissement d’une fonction légale ou publique. Or si le caractère fautif de l’empêchement s’interprète restrictivement, ce qui pourrait mener à l’exclure ici, car on ne peut pas dire que le refus de se faire vacciner soit une cause inhérente à la personne du travailleur. On pourrait par contre faire l’analogie avec l’impossibilité d’effectuer ses prestations découlant de facteurs objectifs (comme une tempête de neige ou un tremblement de terre « coinçant » le travailleur sans qu’il puisse se rendre au travail), voire appliquer l’art. 82 CO, et ce pour priver l’employé de son droit au salaire.

Enfin, on notera que l’art. 38 al. 2 OEp mentionne « en particulier » les « établissements de soins », ce qui montre que l’obligation vaccinale pourrait être étendue au-delà de ceux-ci.

Tests: proportionnalité et rapport avec l’exécution du travail

Le traitement de données des employés (art. 328b CO), y compris d’éventuelles données médicales comme la maladie, la sérologie, etc., obéit au fonds essentiellement aux mêmes contraintes que les mesures d’organisations prises par l’Employeur pour exécuter le travail, planifier l’activité, etc.

Il faut que les données et les mesures aient un rapport avec l’exécution et l’organisation du travail, d’une part, et qu’elles obéissent au principe de proportionnalité d’autre part.

Concrètement, comme dans tout cas de restriction des libertés fondamentales, c’est bien évidemment cette dernière condition qui est cruciale : la mesure permet-elle d’atteindre le but poursuivi ? D’autres mesures moins incisives comme des plans de protection permettraient-elles d’atteindre le même but ? Il faut également mettre  en balance les effets de la mesure choisie sur la situation de la personne concernée avec le résultat escompté en fonction du but visé.

On peut fortement douter que, dans la plupart des situations où l’employeur entende imposer des tests obligatoires, ceux-ci respectent le principe de proportionnalité, notamment pour ce qui est de l’utilisation de mesures moins incisives découlant de plans de protection. L’analyse devrait également se faire au cas par cas ou métier par métier, mais certainement pas en fonction d’une simple grille de lecture vaccinés/non vaccinés.

C’est sans compter encore la question des coûts des tests, qui seraient alors rendus nécessaires pour l’exécution du travail, et qui devraient donc être remboursés par l’employeur.

Conclusion

Les employeurs, comme les politiciens, devraient faire attention. L’épidémie n’est pas une excuse pour ignorer les principes du droit du travail et les fondements de notre Etat de droit. Il s’instaure un climat exécrable chez certains employeurs parce que d’aucuns, pour des raisons parfois honorables (protéger les plus faibles), parfois moins (pressions de clients), entendent imposer la vaccination (ce qui n’est pas possible) ou des tests réguliers (ce qui est envisageable dans certains cas très particuliers à des conditions restrictives). Ces questions, comme toutes questions médicales relatives aux employés, doivent se traiter prudemment, en respectant les droits de chacun, et en n’en faisant pas l’aliment de disputes et de conflits parfaitement évitables.

On rappellera pour finir que ce qui distingue un bon employeur (et un bon politicien), c’est aussi le calme, le sens de la mesure et le fait de susciter les passions les plus nobles.

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans Coronavirus - Covid 19 | Tagué , , , , | Laisser un commentaire

Personnel de maison, preuve des heures supplémentaires

Photo de Yaroslav Shuraev sur Pexels.com

A teneur de l’art. 321c CO, si les circonstances exigent des heures de travail plus nombreuses que ne le prévoit le contrat ou l’usage, un contrat-type de travail ou une convention collective, le travailleur est tenu d’exécuter ce travail supplémentaire, dans la mesure où il peut s’en charger et où les règles de la bonne foi permettent de le lui demander (al. 1). L’employeur est tenu de rétribuer les heures de travail supplémentaires qui ne sont pas compensées par un congé en versant un salaire normal majoré d’un quart au moins, sauf clause contraire d’un accord écrit, d’un contrat-type de travail ou d’une convention collective (al. 3).

Les heures supplémentaires au sens de cette disposition correspondent aux heures de travail effectuées au-delà de l’horaire contractuel. Elles se distinguent du travail supplémentaire, à savoir le travail dont la durée excède le maximum légal, soit 45 ou 50 heures selon la catégorie de travailleurs concernée (cf. art. 9 LTr).

L’art. 5 al. 1 du contrat-type de travail genevois du 30 mars 2004 pour les travailleurs de l’économie domestique à temps complet et à temps partiel (CTT-Edom, RSG J 1 50.03) dispose que la durée de la semaine de travail des travailleurs à temps complet est de 45 heures. Selon l’art. 7 al. 1 CTT-Edom, sont réputées heures supplémentaires les heures accomplies en sus du maximum quotidien ou hebdomadaire.

En application de l’art. 8 CC, il incombe au travailleur de prouver qu’il a effectué des heures supplémentaires et qu’elles ont été annoncées à l’employeur ou que celui-ci avait connaissance ou devait avoir connaissance de leur existence. Le travailleur doit aussi démontrer que lesdites heures supplémentaires ont été soit ordonnées par l’employeur, soit qu’elles étaient nécessaires à la sauvegarde des intérêts légitimes de ce dernier.

D’après l’art. 10bis CTT-Edom, l’employeur tient un registre des heures de travail et des jours de repos effectifs. Le travailleur peut s’informer en tout temps sur ses heures de travail, jours de repos, jours fériés et vacances qui lui restent à prendre (al. 3). Si l’employeur faillit à son obligation de tenir un registre, l’enregistrement de la durée du travail faite par le collaborateur vaut moyen de preuve en cas de litige (al. 4).

Les heures supplémentaires exécutées par le travailleur sans demande expresse de l’employeur doivent être considérées avoir été accomplies en faveur de l’employeur lorsque ce dernier en avait ou devait en avoir connaissance et que le travailleur a pu déduire de bonne foi du silence de l’employeur que ce dernier en approuvait le principe. De même, les heures accomplies de la propre initiative du travailler en cas d’urgence et lorsque leur accomplissement est indispensable à la bonne marche de l’entreprise doivent être considérées comme accomplies en faveur de l’employeur.

S’il n’est pas possible d’établir le nombre exact d’heures supplémentaires effectuées, le juge peut, par application analogique de l’art. 42 al. 2 CO, en estimer la quotité. Si l’art. 42 al. 2 CO allège le fardeau de la preuve, il ne dispense pas le travailleur de fournir au juge, dans la mesure raisonnablement exigible, tous les éléments constituant des indices du nombre d’heures supplémentaires accomplies.

Lorsque l’employeur n’a mis sur pied aucun système de contrôle des horaires et n’exige pas des travailleurs qu’ils établissent des décomptes, il est plus difficile d’apporter la preuve requise. L’employé qui, dans une telle situation, recourt aux témoignages pour établir son horaire effectif utilise un moyen de preuve adéquat.

Dans le cas d’espèce, et dès lors que les employeurs n’avaient pas tenu de registre des heures de travail alors qu’ils en avaient l’obligation, le Tribunal des prud’hommes s’est fondé sur les heures de travail alléguées par l’intimée (sous déduction de deux heures de pause par jour), lesquelles paraissaient hautement vraisemblable au regard des nombreuses tâches qu’elle devait effectuer chaque jour, y compris durant l’absence de ses employeurs.

Se plaignant d’une violation des règles relatives au fardeau de la preuve, l’appelante fait valoir que les premiers juges ne pouvaient pas se contenter de retenir que les horaires mentionnés par l’intimée étaient hautement vraisemblables sur la seule base de ses allégués.

Cette critique est infondée. En effet, à la lecture du jugement entrepris, l’on comprend que le Tribunal s’est implicitement fondé sur les témoignages recueillis en cours de procédure, ainsi que sur les autres éléments du dossier (en particulier la liste des tâches à effectuer chaque jour) pour établir les horaires de l’employée et estimer la quotité des heures supplémentaires effectuées. Les premiers juges n’ont dès lors pas renversé le fardeau de la preuve, mais ont procédé à une estimation des heures de travail sur la base des divers indices concluants figurant au dossier, tel que l’autorise l’art. 42 al. 2 CO.

L’appelante se borne ensuite à faire valoir – sans chercher à le démontrer de manière motivée – que les témoins entendus n’ont pas rendu vraisemblable l’étendue des heures de travail invoquées par l’intimée. Parmi les nombreuses déclarations des témoins, lesquelles font toutes état de nombreuses heures de travail effectuées chaque jour par l’intimée, l’appelante se contente d’en reproduire une seule, soit celle du cuisinier qui a affirmé que c’était en principe lui qui rangeait la vaisselle le soir et nettoyait la cuisine.

Or, cette seule affirmation ne suffit pas à remettre en cause l’estimation des heures supplémentaires à laquelle a procédé le Tribunal. La circonstance que la sœur de l’intimée et le témoin H______ étaient également en litige avec l’appelante et C______ ne suffit pas pour retenir que leurs déclarations seraient dépourvues de toute force probante, ce d’autant plus qu’elles sont cohérentes avec celles des autres témoins.

L’appelante fait ensuite valoir que les horaires de travail de l’intimée étaient allégés durant les périodes où elle-même partait en vacances avec C______, puisque les tâches quotidiennes étaient alors réduites (moins de ménage, de lessive et de repassage). Pour autant que cette critique soit suffisamment motivée, elle est infondée. L’appelante ne se fonde sur aucun élément concret du dossier pour étayer ses dires – au demeurant contredits – et ne fournit aucune donnée permettant de calculer la quotité d’heures supplémentaires qu’il y aurait lieu de retrancher de celles retenues par le Tribunal. L’argumentation toute générale de l’appelante est dès lors impropre à remettre en question l’appréciation des premiers juges.

La quotité d’heures supplémentaires retenue par le Tribunal sera par conséquent confirmée.

(Arrêt de la Chambre des prud’hommes de la Cour de justice du canton de Genève CAPH/132/2021 du 18 juillet 2021, consid. 5)

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans Droit collectif du travail, Litiges, contentieux, Procédure | Tagué , , , , | Laisser un commentaire

Les principes en droit suisse de la protection des données

Photo de Sasha Prasastika sur Pexels.com

[Le droit suisse de la protection des données, c’est aussi du droit du travail !

En effet, outre le renvoi de l’art. 328 b CO, le droit de la protection des données s’applique à des degrés divers dans toutes les étapes de la gestion des ressources humaines, de l’engagement au contentieux en passant par la tenue du dossier personnel.

Or le droit suisse de la protection des données va connaître un bouleversement considérable au 2e semestre 2022 avec l’entrée en vigueur de la loi révisée sur la protection des données et de son ordonnance.

Contrairement à ce que l’on peut lire ici ou là, le nouveau droit de la protection des données va entraîner des adaptations substantielles des pratiques et des manières de faire, particulièrement pour les employeurs qui ne se sont pas adaptés au RGPD car ils n’avaient pas à le faire.

Je vais donc présenter sur ce blog quelques-unes des nouveautés à venir pendant le 2e semestre 2021.]

Le droit suisse de la protection des données obéit à de grands principes généraux figurant  essentiellement aux art. 4 à 7, 14 et 18a de la loi fédérale sur la protection des données (LPD ; RS 235.1) et 6 de la nouvelle loi fédérale sur la protection des données, qui devrait entrer en vigueur dans le 2e semestre 2022 (FF 2020 7397). Le cœur de la matière en est l’art. 4 LPD, qui s’applique tant au traitement de données effectué par des personnes privées que par des organes fédéraux.

Exprimés en termes très généraux, les principes ont d’abord une valeur didactique. Leur inscription spécifique dans la LPD pouvait en effet faire débat, dans la mesure où certains (licéité, bonne foi, proportionnalité) sont de toute façon applicables de manière générale dans tous les domaines du droit. Ils vont néanmoins servir à concrétiser la protection constitutionnelle de la personnalité dans le domaine spécifique de la protection des données (art. 13 al. 2 Cst). Ils guideront (enfin espérons-le) le législateur lorsqu’il édictera des prescriptions et serviront d’aide à l’interprétation. Les principes s’appliqueront dans chaque traitement individuel de données, mais aussi à toute politique globale de traitement mise en œuvre, et, en fait, à toutes les étapes du traitement de données. La violation des principes amènera enfin à retenir généralement une atteinte illicite à la personnalité de la personne concernée (art. 12 al. 2 let. a et 13 LPD ; 30 et 31 nLPD), sous réserve d’éventuels motifs justificatifs.

Le premier principe est de celui de licéité : tout traitement de données doit être licite (art. 4 al. 1 LPD ; 6 al. 1 nLPD). Un traitement de données est illicite uniquement si des données sont traitées dans une finalité contraire à une disposition impérative visant la protection de la personnalité des personnes concernées [cf. arrêt du TAF A-3548/2018 du 19 mars 2019 « Helsana » concernant une violation des dispositions sur l’assurance maladie]. Dit autrement, sont illicites les traitements de données qui contreviennent à une norme impérative hors du cadre de la LPD et qui protège directement ou indirectement la personnalité. On pensera par exemple aux dispositions pénales protégeant la personnalité ou les systèmes d’information, aux art. 28 et ss CO, aux violations de secrets protégés (art. 320 et 321 CP, art. 47 LB), etc. Pour les organes fédéraux, il convient de rappeler l’exigence de la base légale à tout traitement de données, base légale qui doit être formelle s’il s’agit de données sensibles, de profilage ou de risque d’atteinte grave aux droits fondamentaux de la personne concernée (art. 34 al. 2 et 3 nLPD ; comparer avec l’art. 17 LPD).

Le second principe est que le traitement de données doit être effectué conformément aux principes de la bonne foi (art. 4 al. 2 LPD ; 6 al. 2 nLPD). C’est un principe d’application générale dans l’ordre juridique suisse (art. 2 CC). On retiendra ainsi que le traitement doit répondre à un intérêt raisonnable, qu’il doit poursuivre un but déterminé et qu’il doit se faire conformément aux assurances données à cette fin. Dit autrement, aucune donnée ne devrait être traitée à l’insu de la personne concernée ou contre sa volonté. Une entreprise qui s’engagerait à détruire des dossiers de candidature, et qui ne le ferait pas en fin de processus, violerait ainsi le principe de la bonne foi, alors qu’en l’absence d’engagements explicite sur cette question la conservation des données après le terme du processus violerait alors le principe de proportionnalité. De la même manière une entreprise qui indiquerait que tous les champs d’un formulaire en ligne seraient obligatoires, alors que certaines ne sont pas nécessaires pour le traitement, violerait le principe de la bonne foi. Celui-ci peut aussi fonder un devoir positif d’information de tiers en cas de défaillances de sécurité ou de rectification de données [la nouvelle LPD prévoit d’ailleurs ici explicitement un devoir d’information en cas de data breach : art. 24 nLPD].

Le troisième principe est celui de la proportionnalité (art. 4 al. 2 LPD ; art. 6 al. 2 nLPD). Les sous-principes en rapport sont ceux de l’aptitude ou de l’adéquation (le moyen est apte à atteindre le but visé), de la nécessité (entre plusieurs moyens, on choisit celui qui porte l’atteinte la moins grave aux intérêts en cause) et de la proportionnalité au sens étroit (mise en balance des effets du moyen choisi sur la situation de la personne concernée avec le résultat escompté en fonction du but visé). Le maître du fichier ne peut donc traiter que les données qui sont objectivement nécessaires pour atteindre le but poursuivi, qui sont aptes à l’atteindre et pour autant que le traitement demeure dans un rapport raisonnable entre le but recherché et les moyens utilisés, tout en préservant le plus possible le droit des personnes concernées. En droit du travail, l’art. 328b CO, qui prévoit que l’employeur ne peut traiter des données que dans la mesure où elles portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail, est une expression du principe de proportionnalité « matérielle », laquelle s’applique notamment à l’étendue des données récoltées, traitées et/ou conservées.

Les principes de Datenvermeidung (évitement des données) et de Datensparsamkeit (minimisation ou économicité des données) découlent du principe de proportionnalité. Ils doivent être observés lors de la conception de tout système ou traitement : si le but peut être atteint sans collecte ou enregistrement de données nouvelles, alors il ne faut pas y procéder ; par ailleurs si la collecte, le traitement ou d’autres formes de traitement sont nécessaires, ils doivent porter sur le nombre et le type de données strictement nécessaires au but légitime poursuivi.

Dans un arrêt 1C_273/2020 du 05 janvier 2021, destiné à la publication, le Tribunal fédéral avait eu à connaître de l’installation de compteurs de consommation d’eau « intelligents » introduits dans une commune argovienne ensuite de la modification du règlement communal. Il avait ainsi retenu que ce compteur était peut-être justement un peu trop « intelligent ». Les données de consommation d’eau étaient bien des données personnelles au sens de l’art. 3 let. a LPD, et leur traitement à des fins de facturation était conforme au droit à l’autodétermination informationnelle (art. 13 al. 2 Cst.) Cela étant dit, leur collecte, leur conservation pendant 252 jours sur un compteur et leur émission par radio toutes les 30 ou 45 secondes sans but défini étaient contraires aux principes de l’évitement et de la minimisation de données et constituaient par conséquent une atteinte disproportionnée au droit constitutionnel précité. [commenté par Kastriot Lubishtani, Compteurs d’eau intelligents et principes de l’évitement et de la minimisation des données, 15 février 2021 in www.swissprivacy.law/56]

Le principe de proportionnalité s’applique à tous les étages et à toutes les opérations de traitement. Ainsi et par exemple, un employeur qui conserverait des données au-delà de ce qui est nécessaire au sens de l’art. 328b CO violerait ce principe. L’art. 6 al. 4 nLPD prévoit explicitement que les données sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard de la finalité du traitement, mais cela découlait de la simple application du principe de proportionnalité dans le droit actuel. Le responsable de traitement devra donc demain, comme aujourd’hui, fixer des délais de conservation.

Le quatrième principe est le principe de reconnaissabilité (aussi appelé principe de transparence) lequel prévoit que la collecte de données personnelles, et en particulier les finalités du traitement, doit être reconnaissable pour la personne concernée (reconnaissabilité – art. 4 al. 4 LPD ; 6 al. 3 nLPD). Ce sera le cas si l’on informe spécifiquement la personne concernée, si le traitement résulte de la loi ou lorsqu’il ressort clairement des circonstances. Un questionnaire directement lié à un tirage au sort rend la collecte des données et leur traitement reconnaissables, ce qui ne sera pas le cas si, dans un deuxième temps, les données sont utilisées à des fins de marketing. La portée du principe sera toutefois limitée dans le nouveau droit dans la mesure où l’art. 19 nLPD a introduit un devoir d’information systématique pour le responsable de traitement privé.

Le maître du fichier a par ailleurs l’obligation d’informer la personne concernée de toute collecte de données sensibles ou de profils de la personnalité la concernant, que la collecte soit effectuée directement auprès d’elle ou auprès d’un tiers (devoir d’information active – art 14 LPD). La personne concernée doit au moins recevoir les informations suivantes : identité du maître du fichier, finalité du traitement, catégories de destinataires des données si leur communication est envisagée. Si les données ne sont pas collectées auprès de la personne concernée, celle-ci doit être informée au plus tard lors de leur enregistrement ou, en l’absence d’enregistrement, lors de la 1ère communication à un tiers. Le maître du fichier est délié de son devoir d’information si la personne concernée a déjà été informée, ou si l’enregistrement ou la communication sont expressément prévus par la loi, ou encore si le devoir d’information est impossible à respecter ou nécessite des efforts disproportionnés. Il existe aussi un devoir d’informer pour les organes fédéraux (art. 18a LPD).

Le devoir d’information va être considérablement étendu par les art. 19 et ss nLPD dès le 2e semestre 2022 [sur cette question : https://droitdutravailensuisse.com/2021/07/22/protection-des-donnees-et-devoir-dinformation/]

Cinquième principe, le principe de finalité, selon lequel les données collectées ne doivent être traitées que dans le but qui est indiqué lors de leur collecte, qui est prévu par la loi ou qui ressort des circonstances (Zweckbindung : art. 4 al. 3 LPD ; 6 al. 3 nLPD). Il s’agit ici d’un principe spécifique au droit de la protection des données. Il existe en effet un risque important que des données récoltées dans un but déterminé reconnaissable ou ayant fait l’objet d’une information spécifique soient détournées et utilisées à d’autres fins, vendues, etc. On attend dès lors de celui qui traite les données de le faire dans un but préalablement défini, antérieurement au début de la récolte des données, et reconnaissable. Il est exclu de recueillir des données « au cas où » ou dans la perspective qu’elles puissent servir un jour. Le but initial ne doit pas non plus être modifié ou remplacé dans un deuxième temps, sauf motifs justificatifs (au premier rang desquels le consentement au changement de but ou une disposition légale particulière). Si l’on communique des données à des tiers, ceux-ci sont aussi liés par le principe de finalité. L’art. 6 al. 3 nLPD ajoute qu’un traitement ultérieur des données doit être « compatible » avec les finalités initiales, ce qui élargit un peu le cadre de l’art. 4 al. 3 LPD. Cela implique, par exemple, que si l’on veut traiter les données à d’autres fins, il faudra obtenir le consentement de la personne concernée.

Le principe d’exactitude est le sixième principe applicable. Celui qui traite des données personnelles doit s’assurer qu’elles sont correctes. Il prend toutes les mesures appropriées permettant d’effacer ou de rectifier les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées (art. 5 al. 1 LPD). Toute personne concernée peut requérir la rectification des données inexactes (art. 5 al. 2 LPD). La matière est réglée à l’art. 6 al. 5 nLPD dans le nouveau droit.

Le principe d’exactitude est respecté lorsque les données reflètent de manière correcte, actuelle et objective les faits et circonstances relatifs à la personne concernée. Une donnée juste à un moment X peut ne plus l’être par la suite. De la même manière, il s’agira de faits, et non de jugements de valeur ou d’appréciation.

Le maître du fichier devra mettre les données jour et les compléter dans la mesure où les circonstances le requièrent, et ce au regard des finalités du traitement et du type des données traitées ou collectées. Un employeur, par exemple, devra régulièrement s’assurer que les données du dossier personnel sont à jour, qu’elles puissent être actualisée et obliger les employés à communiquer toute information pertinente (changement d’adresse, d’état civil, etc.)

Une donnée inexacte ne devra par contre pas être systématiquement corrigée. Le responsable de traitement devra certes tenir compte des modifications dont il a connaissance, mais il n’a pas un devoir de contrôle permanent, sauf obligations légales particulières (pensons aux contraintes de l’employeur en matière d’impôt à la source ou d’assurances sociales par exemple.) La donnée devra par contre être corrigée si elle porte atteinte à la personnalité ou si la personne concernée le demande, et on peut attendre du responsable de traitement qu’il procède au moins par sondage pour s’assurer de l’exactitude des données qu’il traite (cf. arrêt du Tribunal administratif fédéral A-4232/2015 du 18 avril 2017 consid. 7.3.2 concernant une agence de rating).

Septième principe, le principe de sécurité (Datensicherheit) : les données personnelles doivent être protégées contre tout traitement non autorisé par des mesures organisationnelles et techniques appropriées (art. 7 al. 1 LPD ; 8 et ss. et 20 et ss OLPD). On renverra ici aux développements ci-après qui traite la matière de façon plus exhaustive : https://droitdutravailensuisse.com/2021/07/04/protection-des-donnees-et-securite-des-donnees-regime-actuel-regime-futur/).

Le consentement, que le législateur a fait figurer dans l’art. 4 al. 5 LPD, est moins un principe qu’un fait justificatif en cas de traitement illicite. Il sera renvoyé à ces notions.

La nLPD introduit deux principes complémentaires – la protection des données dès la conception et par défaut. Selon le premier, le responsable du traitement doit prendre, dès la conception du traitement, des mesures techniques et organisationnelles appropriées afin que le traitement respecte les principes relatifs à la protection des données et offre les garanties nécessaires afin de protéger les droits de la personne concernée (art. 25 RGPD, 7 nLPD). L’obligation doit être proportionnée. Les mesures prises devront être aptes et efficaces. L’approche sera basée sur la gestion du risque : on prendra en compte l’effort requis par les mesures, les moyens disponibles et les risques posés par le traitement pour les personnes concernées. Les mesures devront aussi être mises à jour. Le second, oblige le responsable du traitement à régler les paramètres par défaut sur le mode le plus protecteur de la sphère privée, l’utilisateur étant libre de les modifier. Dit autrement, le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données personnelles qu sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées [pour de plus amples développements : https://droitdutravailensuisse.com/2021/07/06/protection-des-donnees-des-la-conception-et-par-defaut/].

On peut aussi considérer que les deux principes posés à l’art. 30 al. 2 let. b et c constituent aussi des principes de traitement, quand bien même ils constituent et explicitent des atteintes à la personnalité. Le premier est que les données sensibles ne peuvent être communiquées à des tiers (art. 30 al. 2 let, c nLPD). Le tiers désigne ici des responsables indépendants de traitement, i.e. des personnes qui ne sont pas des sous-traitants ou des responsables conjoints du traitement dans le cadre d’un traitement commun de données.  Le second est que des données personnelles ne peuvent être traitées contre la manifestation expresse de volonté de la personne concernée (opt-out : art. 30 al. 2 let. b nLPD).

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans nouvelle LPD, Protection de la personnalité, Protection des données | Tagué , , , | Laisser un commentaire

Protection des données et devoir d’information

Photo de Arindam Raha sur Pexels.com

[Le droit suisse de la protection des données, c’est aussi du droit du travail !

En effet, outre le renvoi de l’art. 328 b CO, le droit de la protection des données s’applique à des degrés divers dans toutes les étapes de la gestion des ressources humaines, de l’engagement au contentieux en passant par la tenue du dossier personnel.

Or le droit suisse de la protection des données va connaître un bouleversement considérable au 2e semestre 2022 avec l’entrée en vigueur de la loi révisée sur la protection des données et de son ordonnance.

Contrairement à ce que l’on peut lire ici ou là, le nouveau droit de la protection des données va entraîner des adaptations substantielles des pratiques et des manières de faire, particulièrement pour les employeurs qui ne se sont pas adaptés au RGPD car ils n’avaient pas à le faire.

Je vais donc présenter sur ce blog quelques-unes des nouveautés à venir pendant le 2e semestre 2021.]

Introduction

Le nouveau droit de la protection des données va considérablement élargir le devoir d’information du responsable de traitement privé. Le régime actuel prévoit en effet un devoir « actif » d’information uniquement en cas de récole de données sensibles ou de profils de personnalité, ou lorsque la récolte n’est pas reconnaissable. Le nouveau régime (2e semestre 2022) impose maintenant d’informer les personnes concernées chaque fois que des données personnelles sont collectées, peu importe leur type, sauf exceptions limitativement énumérées, et étend aussi le contenu des informations à transmettre. Les responsables de traitement vont donc devoir rapidement se mettre à la rédaction de Notice d’information, de Privacy Notice, etc., documents qui devront être hautement individualisés, et qui devraient reposer sur une bonne analyse des traitements de données effectués. C’’est notamment pour ce genre d’exercice qu’un registre des traitements pourra s’avérer utile.

Régime actuel

L’art. 14 de la loi fédérale sur la protection des données (LPD ; RS 235.1) LPD traite du devoir d’informer lors de la collecte de données sensibles et de profils de la personnalité.

Le maître du fichier a ainsi l’obligation d’informer la personne concernée de toute collecte de données sensibles ou de profils de la personnalité la concernant, que la collecte soit effectuée directement auprès d’elle ou auprès d’un tiers (al. 1). La collecte des autres données personnelles doit être reconnaissable au sens de l’art. 4 al. 4 LPD, i.e. la collecte de données personnelles, et en particulier les finalités du traitement, doivent être reconnaissables pour la personne concernée. Le devoir d’information existe au moment de la collecte. Le maître du fichier doit s’acquitter du devoir d’information dans le respect du principe de proportionnalité et dans celui de la bonne foi.

La personne concernée doit au moins recevoir les informations suivantes : a. l’identité du maître du fichier; b. les finalités du traitement pour lequel les données sont collectées; c. les catégories de destinataires des données si la communication des données est envisagée (al. 2). La personne concernée doit ainsi pouvoir vérifier que les principes de bonne foi, de finalité et de proportionnalité sont bien respectés. L’information devrait aussi porter sur le droit d’accès et de rectification, sur le caractère facultatif ou obligatoire des réponses demandées ainsi que sur les conséquences d’un défaut de réponse, même si cela n’est pas expressément mentionné à l’art. 14 al. 2 LPD (cf. art. 18a LPD pour les organes fédéraux) et n’entraînerait pas de sanctions pénales sous l’angle de l’art. 34 al. 1 LPD faute de précision de la base légale.

Si les données ne sont pas collectées auprès de la personne concernée, celle-ci doit être informée au plus tard lors de leur enregistrement ou, en l’absence d’un enregistrement, lors de la première communication à un tiers (al. 3 : collecte auprès d’un tiers). Cet alinéa ne règle que le moment où l’information doit être faite, le contenu de l’art. 14 al. 2 reste le même.

Le maître du fichier est délié de son devoir d’informer si la personne concernée a déjà été informée; il n’est pas non plus tenu d’informer cette dernière: a. si l’enregistrement ou la communication sont expressément prévus par la loi; b. si le devoir d’informer est impossible à respecter ou nécessite des efforts disproportionnés (art. 14 al. 4 LPD). La 2e hypothèse de l’al. 4 let. b (efforts disproportionnés) ne sera admise que de manière restrictive.

Le maître du fichier peut refuser, restreindre ou différer l’information pour les mêmes motifs que ceux prévus à l’art. 9 al. 1 et 4 LPD : une loi au sens formel le prévoit ou les intérêts prépondérants d’un tiers l’exigent (art. 9 al. 1) ; les intérêts prépondérants du maître de fichier privé dans la mesure où ses intérêts prépondérants l’exigent et à condition qu’il ne communique pas les données personnelles à un tiers (art. 9 al. 4). Le maître du fichier n’a pas à motiver son refus de fournir l’information ; l’art. 9 al. 5 LPD ne s’applique en effet qu’au refus du droit d’accès.

L’information doit être donnée d’office et de façon active par le maître du fichier, par exemple par le biais d’une Notice d’information /Privacy Notice, d’une page internet, etc.

Le non-respect du devoir d’information fondé sur l’art. 14 LPD rend la collecte de données illicite, même si l’art. 14 n’est pas mentionné à l’art. 12 al. 2 let. a LPD. On considère qu’il s’agit en fait d’une extension du principe de reconnaissabilité (art. 4 al. 4 LPD) qui est expressément mentionné à l’art. 12 al. 2 let. a LPD. L’illicéité ne saurait être justifiée par le consentement, faute, précisément, d’information permettant d’obtenir un consentement éclairé.

Les motifs justificatifs pouvant entrer en considération sont ceux des art. 14 al. 4 et 9 LPD [i.e. le devoir d’informer est impossible à respecter ou nécessite des efforts disproportionnés ; les intérêts prépondérants d’un tiers l’exigent ; un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Confédération, l’exige; la communication des renseignements risque de compromettre une instruction pénale ou une autre procédure d’instruction ; les intérêts prépondérants du maître de fichier privé l’exigent – à condition qu’il ne communique pas les données personnelles à un tiers], et non ceux de l’art. 13 LPD.

La violation de l’art. 14 LPD est assortie de sanctions pénales (art. 34 al. 1 LPD), contrairement à la violation des principes généraux (art. 4, 5 et 7 LPD).

Pour ce qui est des organes fédéraux, rappelons qu’ils ne sont en droit de traiter des données personnelles que s’il existe une base légale (art. 17 al. 1 LPD). La base légale doit être une loi au sens formel si des données sensibles ou des profils de personnalités sont traités, sauf accomplissement d’une tâche clairement définie dans une loi au sens formel.

L’organe fédéral qui collecte systématiquement des données [et non pas simplement des données sensibles ou des profils de la personnalité], notamment au moyen de questionnaires, est tenu de préciser le but et la base juridique du traitement, les catégories de participants au fichier et de destinataires des données (art. 18 al. 1 LPD).

L’organe fédéral a l’obligation d’informer la personne concernée de toute collecte de données la concernant, qu’elle soit effectuée directement auprès d’elle ou auprès d’un tiers (art. 18a al. 1 LPD) ; contrairement au devoir d’information du maître de fichier privé, il n’est pas restreint aux hypothèses des données sensibles ou des profils de personnalité. La personne concernée doit au moins recevoir les informations suivantes : a. l’identité du maître du fichier ; b. les finalités du traitement pour lequel les données sont collectées ; c. les catégories de destinataires des données si la communication des données est envisagée ; d. le droit d’accéder aux données la concernant; e. les conséquences liées au refus de sa part de fournir les données personnelles demandées (art. 18a al. 2 LPD).

Si les données ne sont pas collectées auprès de la personne concernée, celle-ci doit être informée au plus tard lors de leur enregistrement ou, en l’absence d’un enregistrement, lors de la première communication à un tiers (art. 18a al. 3 LPD)

L’organe fédéral est délié de son devoir d’informer si la personne concernée a déjà été informée; il n’est pas non plus tenu d’informer cette dernière dans les cas prévus à l’al. 3: a. si l’enregistrement ou la communication sont expressément prévus par la loi; b. si le devoir d’informer est impossible à respecter ou nécessite des efforts disproportionnés (art. 18a al. 4 LPD)

Le Conseil fédéral peut limiter le devoir d’informer de l’organe fédéral aux collectes de données sensibles et de profils de la personnalité, si le devoir d’informer porte atteinte à la capacité de concurrence de cet organe (art. 18a al. 5 LPD).

Pour ce qui est des restrictions du droit d’informer, l’art. 18b al. 1 LPD prévoit que l’’organe fédéral peut refuser, restreindre ou différer l’information pour les mêmes motifs que ceux prévus à l’art. 9 al. 1 et 2 [i.e. une loi au sens formel le prévoit; les intérêts prépondérants d’un tiers l’exigent ; un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Confédération, l’exige; la communication des renseignements risque de compromettre une instruction pénale ou une autre procédure d’instruction]. Dès que le motif justifiant le refus, la restriction ou l’ajournement disparaît, l’organe fédéral est tenu par le devoir d’informer, pour autant que cela ne s’avère pas impossible ou ne nécessite pas un travail disproportionné (art. 18 b al. 2 LPD).

Régime futur

Les obligations d’information du maître du fichier – devenu le responsable du traitement – ont été considérablement étendues par les art. 19-21 de la nouvelle loi fédérale du 25 septembre 2020 sur la protection des données (nLPD ; FF 2020 7397) qui entrera en vigueur (probablement) dans le courant du deuxième semestre 2022.

A teneur de l’art. 19 al. 1 nLPD, le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d’elle ou non. Cela implique que les informations soient communiquées si possible de manière concise, compréhensible et aisément accessible. En d’autres termes, cela signifie que le responsable du traitement ou le sous-traitant doivent s’assurer, lors du choix des modalités d’informations, que les informations les plus importantes sont toujours transmises dans le premier niveau de communication avec la personne concernée. Par exemple, lorsque la communication se fait sur un site internet, une bonne pratique peut consister à faire en sorte que les informations essentielles soient toutes disponibles en un coup d’œil. Pour obtenir des informations complémentaires, la personne concernée pourra ensuite cliquer sur ces premières informations et cela ouvrira une autre fenêtre contenant des détails supplémentaires. Il faut néanmoins préciser que la communication par un site internet n’est pas toujours suffisante : il faut que la personne concernée sache qu’elle trouvera ces informations sur un site en particulier. Autre exemple, si la communication se fait dans un environnement téléphonique, des explications orales peuvent être fournies par une personne physique, lesquelles peuvent être complétées par un renvoi vers un site internet ; s’il s’agit d’informations enregistrées, la personne concernée devra avoir la possibilité d’entendre des informations plus détaillées. Enfin, dans un environnement « réel » où la personne pourra être filmée par un système de vidéosurveillance fixe ou par un drone, une signalisation visible ou une campagne d’information devront par exemple mentionner cette activité. [Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données, Rapport explicatif relatif à la procédure de consultation, Berne, 23 juin 2021, pp. 29-30]

Selon l’art. 19 al. 2 nLPD, lors de la collecte, le responsable de traitement communique à la personne concernée les informations nécessaires pour qu’elle puisse faire valoir ses droits selon la nLPD et pour que la transparence des traitements soit garantie ; il lui communique au moins: a. l’identité et les coordonnées du responsable du traitement; b. la finalité du traitement; c. le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises. On observera que, contrairement à l’art. 13 RGPD, il n’est pas prévu de mentionner les droits que peuvent faire valoir les personnes concernées ou la durée de conservation des donées recueillies.

Si les données personnelles ne sont pas collectées auprès de la personne concernée, le responsable de traitement communique en outre les catégories de données traitées à cette personne (art. 19 al. 3 nLPD).

Lorsque des données personnelles sont communiquées à l’étranger, il communique également à la personne concernée le nom de l’État ou de l’organisme international auquel elles sont communiquées et, le cas échéant, les garanties prévues à l’art. 16, al. 2 (garanties en cas d’absence de décision d’adéquation), ou l’application d’une des exceptions prévues à l’art. 17 (dérogations) (art. 19 al. 4 nLPD).

Si les données personnelles ne sont pas collectées auprès de la personne concernée, il communique à cette personne les informations susmentionnées au plus tard un mois après qu’il a obtenu les données personnelles. S’il communique les données personnelles avant l’échéance de ce délai, il en informe la personne concernée au plus tard lors de la communication.

L’art. 20 nLPD règle les exceptions et restrictions au devoir d’informer.

Le responsable du traitement est délié du devoir d’information si l’une des conditions suivantes est remplie :  a. la personne concernée dispose déjà des informations correspondantes ; b. le traitement des données personnelles est prévu par la loi ; c. le responsable du traitement est une personne privée et il est lié par une obligation légale de garder le secret ; d. les conditions de l’art. 27 sont remplies [restrictions au droit d’accès applicables aux médias].Lorsque les données personnelles ne sont pas collectées auprès de la personne concernée, le devoir d’information ne s’applique pas non plus dans les cas suivants: a. l’information est impossible à donner; b. elle nécessite des efforts disproportionnés.

Le responsable du traitement peut également restreindre ou différer la communication des informations, ou y renoncer, si l’une des conditions suivantes est remplie: a. les intérêts prépondérants d’un tiers l’exigent; b. l’information empêche le traitement d’atteindre son but; c. lorsque le responsable du traitement est une personne privée et que ses intérêts prépondérants l’exigent et il ne communique pas les données à un tiers [les entreprises appartenant au même groupe ne sont pas considérées comme des tiers]; d. lorsque le responsable du traitement est un organe fédéral: si un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l’exige, ou si la communication des informations est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative. La limitation de l’information de l’art. 20 al. 3 nLPD entraîne une pesée d’intérêts et permet ou non, ensuite de cette pesée, de renoncer à informer, de restreindre l’information ou d’en différer la communication. Les hypothèses prévues sont exhaustives, et la disposition doit être interprétée restrictivement. En appliquant rigoureusement le principe de proportionnalité, on choisira en conséquence la solution la plus favorable à la personne concernée, en garantissant la transparence maximale du traitement au vu des circonstances.

Il existe par ailleurs un nouveau devoir d’informer en cas de décision individuelle automatisée (art. 21 nLPD).  Le responsable du traitement informe en effet la personne concernée de toute décision qui est prise exclusivement sur la base d’un traitement de données personnelles automatisé et qui a des effets juridiques pour elle ou l’affecte de manière significative (décision individuelle automatisée). Si la personne concernée le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la décision individuelle automatisée soit revue par une personne physique. Font toutefois exception les situations où la décision individuelle automatisée est en relation directe avec la conclusion ou l’exécution d’un contrat entre le responsable du traitement et la personne concernée et la demande de cette dernière est satisfaite ou lorsque la personne concernée a expressément consenti à ce que la décision soit prise de manière automatisée.

Les art. 19-21 nOLPD ont été mis en œuvre aux art. 13 et ss  de l’Avant-projet d’ordonnance relative à la loi fédérale sur la protection des données (P – OLPD), en consultation jusqu’au 14 octobre 2021 https://www.admin.ch/gov/fr/accueil/documentation/communiques.msg-id-84103.html).

Ainsi, selon l’art. 13 P-OLPD, le responsable du traitement et le sous-traitant communiquent les informations sur la collecte de données personnelles de manière concise, compréhensible et facilement accessible. Lorsque l’information se fait en combinaison de pictogrammes, ceux-ci doivent êtres lisibles par machine s’ils sont présentés par voie électronique. Concernant les organes fédéraux, si la personne concernée n’est pas tenue de fournir des renseignements, l’organe fédéral qui collecte systématiquement des données personnelles notamment au moyen d’un questionnaire doit l’informer du caractère facultatif de sa réponse (art. 14 P-OLPD). Par ailleurs, le responsable du traitement et le sous-traitant indiquent au destinataire l’actualité, la fiabilité et l’exhaustivité des données personnelles qu’ils communiquent, dans la mesure où ces informations ne ressortent pas des données elles-mêmes ou des circonstances (art. 15 P-OLPD). Le responsable du traitement informera par ailleurs sans délai les destinataires auxquels il a communiqué des données personnelles de la rectification, de l’effacement ou de la destruction, ainsi que de la limitation du traitement des données personnelles, sauf si la notification est impossible ou implique des efforts disproportionnés (art. 16 P – OLPD).

La violation de l’obligation d’information est passible des sanctions de l’art. 60 al. 1 nLPD (amende de CHF 250’000.—au plus).

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans nouvelle LPD, Protection des données | Tagué , , , , , | Laisser un commentaire

COVID-19, mesures sanitaires et restrictions des droits constitutionnels

Photo de Josh Hild sur Pexels.com

[A un moment où la France adopte, pour lutter contre la pandémie, des mesures restreignant fortement les libertés fondamentales, mesures que d’aucun souhaiteraient peu ou prou imiter, y compris en Suisse, il est utile de lire l’arrêt que vient de rendre public ce jour le Tribunal fédéral, destiné à la publication, et qui traite de l’obligation de porter le masque en droit cantonal fribourgeois. Le raisonnement, très détaillé, sera probablement appliqué selon le même canevas à d’autres mesures à l’avenir.]

La liberté personnelle inclut toutes les libertés élémentaires dont l’exercice est indispensable à l’épanouissement de la personne humaine et dont devrait jouir tout être humain, afin que la dignité humaine ne soit pas atteinte par le biais de mesures étatiques. Sa portée ne peut être définie de manière générale mais doit être déterminée de cas en cas, en tenant compte des buts de la liberté, de l’intensité de l’atteinte qui y est portée ainsi que de la personnalité de ses destinataires. Quant à l’art. 8 CEDH, il garantit le respect de la vie privée et familiale, et en particulier le droit à l’autodétermination, notamment au libre choix du mode de vie. 

En l’occurrence, le recourant estime que l’obligation de porter un masque facial dans les commerces constitue une restriction de sa liberté personnelle. Il explique que cette obligation entrave gravement l’expression non verbale des sentiments et des émotions, rendant également l’expression verbale plus difficile. Il ajoute que le port du masque facial peut entraîner transpiration et sensation d’étouffement, ainsi que maux de tête, difficultés respiratoires et développement de lésions ou de maladies cutanées. Selon lui, il existe également un risque important d’auto-contamination lors de la manipulation du masque. 

(…)  Dans le cadre de cet art. 5a al. 1 let. a de l’ordonnance fribourgeoise COVID-19, l’obligation de port du masque concerne des lieux clos qui sont tout au plus visités quelques heures par semaine et par personne. En outre, rien n’empêche le recourant de renoncer à se rendre dans ces lieux, la vente par correspondance s’étant largement répandue ces dernières années en Suisse (cf. Office fédéral de la statistique, E-commerce des particuliers en Suisse, selon différentes caractéristiques socio-démographiques, tableau publié le 10 décembre 2019, <https://www.bfs.admin.ch&gt; sous : Trouver des statistiques/Culture, médias, société de l’information, sport/Société de l’information/Ensemble des indicateurs/Ménages et population/E-commerce et e-banking) et encore plus depuis le début de la pandémie. Par conséquent, force est de constater que la restriction en cause n’est que de faible intensité.

Conformément à l’art. 36 Cst., toute restriction d’un droit fondamental doit reposer sur une base légale qui doit être de rang législatif en cas de restriction grave (al. 1); elle doit en outre être justifiée par un intérêt public ou par la protection d’un droit fondamental d’autrui (al. 2) et proportionnée au but visé (al. 3), sans violer l’essence du droit en question (al. 4). En particulier, pour être conforme au principe de la proportionnalité (art. 36 al. 3 Cst.), une restriction d’un droit fondamental doit être apte à atteindre le but visé, lequel ne peut pas être obtenu par une mesure moins incisive; il faut en outre qu’il existe un rapport raisonnable entre les effets de la mesure sur la situation de la personne visée et le résultat escompté du point de vue de l’intérêt public.

Comme on vient de le voir, toute restriction à un droit fondamental doit reposer sur une base légale (art. 36 al. 1 Cst.). Lorsque l’atteinte est grave, outre que la base légale doit être une loi au sens formel, celle-ci doit être claire et précise. Cette exigence résulte aussi du principe de la légalité, qui est posé de façon générale pour toute l’activité de l’Etat régie par le droit (art. 5 al. 1 Cst.). En d’autres termes, l’exigence d’une base légale ne concerne pas que le rang de la norme – à savoir celui d’une loi formelle en cas de restrictions graves (art. 36 al. 1 phr. 2 Cst.) -, mais s’étend à son contenu, qui doit être suffisamment clair et précis. Il faut que la base légale ait une densité normative suffisante pour que son application soit prévisible. Pour déterminer quel degré de précision l’on est en droit d’exiger de la loi, il faut tenir compte du cercle de ses destinataires et de la gravité des atteintes qu’elle autorise aux droits fondamentaux. 

S’agissant de mesures de police ordonnées pour lutter contre des dangers difficilement prévisibles et qui doivent ainsi pouvoir être adaptées à des situations spécifiques, le législateur ne peut pas se passer d’utiliser des définitions générales, relativement vagues. Le degré de précision attendu ne se détermine donc pas de manière abstraite et il est dans la nature des choses d’accepter que la base légale soit moins précise. Dans le cas de normes indéterminées, le principe de proportionnalité revêt alors une importance particulière.

 Dans le cas d’espèce, le recourant admet l’existence d’une base légale formelle, mais conteste sa densité normative. 

Le but de la loi fédérale du 28 septembre 2012 sur la lutte contre les maladies transmissibles de l’homme (LEp; RS 818.101) est de prévenir et de combattre l’apparition et la propagation des maladies transmissibles (art. 2 al. 1 LEp). L’art. 19 al. 1 LEp prévoit que la Confédération et les cantons prennent les mesures visant à contrôler et à écarter ou atténuer les risques de transmission de maladies. Plus particulièrement, l’art. 40 al. 1 LEp dispose que les autorités cantonales compétentes ordonnent les mesures nécessaires pour empêcher la propagation de maladies transmissibles au sein de la population ou dans certains groupes de personnes. Elles coordonnent leur action. A teneur de l’art. 40 al. 2 LEp, elles peuvent en particulier prononcer l’interdiction totale ou partielle de manifestations (let. a), fermer des écoles, d’autres institutions publiques ou des entreprises privées, ou réglementer leur fonctionnement (let. b), interdire ou limiter l’entrée et la sortie de certains bâtiments ou zones, ou certaines activités se déroulant dans des endroits définis (let. c). L’art. 40 LEp constitue donc la base légale formelle permettant aux autorités cantonales de prendre des mesures en vue de lutter contre la propagation de la maladie à coronavirus 2019 (cf. arrêts 2C_8/2021 du 25 juin 2021 consid. 3.8.1; 2C_941/2020 du 8 juillet 2021 consid. 3.2.2). D’un point de vue cantonal, l’art. 31 al. 1 de la loi fribourgeoise du 16 novembre 1999 sur la santé (LSan/FR; RSF 821.0.1) dispose lui aussi que l’Etat prend les mesures nécessaires pour prévenir et empêcher la propagation de maladies transmissibles, y compris les zoonoses. Il applique les dispositions du droit fédéral en la matière.

Le recourant est toutefois d’avis que le but de la LEp est énoncé de manière extrêmement large, ce qui pourrait justifier des mesures de contraintes illimitées au titre de la lutte contre la propagation de maladies transmissibles. Il ajoute que rien n’indique que ces mesures seraient limitées dans le temps, estimant que le combat de la grippe saisonnière pourrait également conduire les autorités à exiger le maintien de celles-ci. Finalement, il constate qu’à aucun moment la LEp en général, et l’art. 40 LEp en particulier, ne prévoient le port du masque comme mesure pertinente. 

Le recourant ne saurait être suivi.

Tout d’abord, force est de relever que le point de savoir si les mesures prises sur la base de la LEp pourraient être illimitées, également dans le temps, constitue plus une question de proportionnalité de ces mesures que d’existence d’une base légale suffisante. Quant aux griefs du recourant relatifs à la densité normative, ils doivent également être écartés. On constate à ce propos que la LEp ne prévoit certes pas expressément le port du masque facial comme mesure permettant d’empêcher la propagation d’une maladie transmissible au sein de la population. Toutefois, comme l’a justement relevé le Conseil d’Etat dans sa détermination au Tribunal fédéral, le port du masque a expressément été mentionné dans le Message du Conseil fédéral du 3 décembre 2010 concernant la révision de la loi fédérale sur la lutte contre les maladies transmissibles de l’homme comme étant une mesure permettant d’exclure ou à tout le moins de fortement diminuer les risques de contamination ou de transmission de la grippe (FF 2011 291 p. 306). De plus, l’art. 40 al. 2 LEp, qui, comme on l’a vu contient une liste de mesures pouvant être prises par les autorités cantonales, dispose que celles-ci peuvent en particulier prendre les mesures proposées. Cela signifie bien que la liste de l’art. 40 al. 2 LEp n’est nullement exhaustive. En outre, comme l’a déjà jugé le Tribunal fédéral, dans la mesure où l’art. 40 al. 2 LEp prévoit la possibilité de fermer des écoles, d’autres institutions publiques ou des entreprises privées (art. 40 al. 2 let. b LEp), il est toujours possible de prononcer une mesure moins restrictive, comme par exemple le port du masque. Finalement, si les mesures évoquées dans la LEp ne sont pas formulées de manière précise, il convient de rappeler que la mesure en cause, c’est-à-dire le port du masque dans les commerces et supermarchés du canton de Fribourg pour les personnes de plus de 12 ans révolus, constitue une atteinte à la liberté personnelle légère n’exigeant pas une base légale précise. Il faut encore ajouter que cette formulation large des mesures envisageables vise essentiellement à laisser une importante marge de manœuvre aux cantons, afin que ceux-ci puissent répondre le plus exactement possible à la propagation de maladies transmissibles eu égard aux particularités locales (cf. arrêt 2C_941/2020 du 8 juillet 2021 consid. 3.2.1 et 3.2.6). 

On doit donc conclure de ce qui précède que la restriction de la liberté personnelle alléguée par le recourant repose sur une base légale suffisante.

Il convient également d’admettre que l’obligation de port du masque facial dans les commerces et supermarchés du canton de Fribourg vise un intérêt public au sens de l’art. 36 al. 2 Cst (cf. arrêt 2C_941/2020 du 8 juillet 2021 consid. 3.3.1). En effet, le but de cette mesure est de prévenir et de combattre la propagation de la maladie à coronavirus 2019 (cf. art. 2 al. 1 LEp; cf. également Message du Conseil fédéral du 3 décembre 2010 concernant la révision de la loi fédérale sur la lutte contre les maladies transmissibles de l’homme; FF 2011 291 p. 372). Il s’agit là d’un but de santé publique tendant à éviter des contaminations et par conséquent les hospitalisations et décès qui peuvent en résulter. 

Le recourant fait certes valoir que cet intérêt n’existe pas s’il n’y a pas de danger sérieux pour la santé publique, faisant notamment référence à la vague annuelle de grippe qui ne conduit pas les autorités à ordonner le port du masque et au fait que le nombre de contaminations, d’hospitalisations et de morts dus à la maladie de coronavirus 2019 sont en baisse depuis le mois de juin. Il est douteux que cette question relève de l’intérêt public et pas de la proportionnalité. Force est néanmoins de constater que la maladie à coronavirus 2019, au contraire de la grippe saisonnière, a été qualifiée de pandémie le 11 mars 2020 par l’Organisation mondiale de la santé (ci-après: OMS; cf. https://www.who.int/ fr/news/item/29-06-2020-covidtimeline). En outre, l’épidémie annuelle de grippe, si elle a certes malheureusement pour conséquence une mortalité non négligeable, ne conduit en principe pas à un engorgement massif des hôpitaux et, de ce fait, à de potentielles restrictions de prise en charge d’autres affections. Quant au nombre d’hospitalisations et de décès dus à la maladie à coronavirus 2019, on ne peut que donner tort au recourant. Certes, celui-ci a rédigé son recours le 23 septembre 2020, c’est-à-dire avant l’apparition de la deuxième vague d’infections. On constate cependant qu’entre le 28 septembre 2020 et le 19 mars 2021 (faits notoires pouvant être pris en compte; cf. ATF 143 IV 380 consid. 1.1.1 et les références; arrêt 5A_251/2016 du 15 août 2016 consid. 1.5), le nombre de décès dus à la maladie à coronavirus 2019 confirmés en laboratoire a atteint 7’688, soit 88,93 pour 100’000 habitants. En outre, sur la même période, les cas établis en laboratoire ont totalisé 527’806, c’est-à-dire 6’105,49 cas pour 100’000 habitants, alors que les hospitalisations étaient de 19’525, soit 225,86 pour 100’000 habitants (chiffres tirés du site de l’Office fédéral de la santé publique; https://www.covid19.admin.ch). Ainsi, il sied de constater que l’argument de l’absence de danger, respectivement de la diminution de la létalité du virus tombe à faux. Les éléments qui précèdent justifient d’ordonner des mesures différentes pour lutter contre la maladie à coronavirus 2019 que celles généralement prises pour diminuer les effets de la grippe saisonnière (cf. arrêt 2C_941/2020 du 8 juillet 2021 consid. 3.2.3).

Il convient ainsi d’admettre l’existence d’un intérêt public à la restriction de la liberté personnelle du recourant.

 Si la restriction de la liberté personnelle du recourant repose sur une base légale suffisante et est justifiée par un intérêt public (cf. art. 2 et 19 LEp), encore faut-il que cette restriction soit proportionnée au but d’intérêt public précité. Or, pour être conforme au principe de proportionnalité (art. 36 al. 3 Cst.), une restriction d’un droit fondamental doit être apte à atteindre le but visé (règle de l’aptitude), lequel ne peut pas être obtenu par une mesure moins incisive (règle de la nécessité); il faut en outre qu’il existe un rapport raisonnable entre les effets de la mesure sur la situation de la personne visée et le résultat escompté du point de vue de l’intérêt public (règle de la proportionnalité au sens étroit). 

 Le principe de proportionnalité revêt une importance particulière lorsqu’il s’agit de procéder à une harmonisation de principes constitutionnels entrant en conflit, tels la protection de la vie et de la santé publique d’un côté et les restrictions de libertés ordonnées dans ce but de l’autre. Ainsi, même s’il existe un devoir de protection de l’Etat contre les dangers pour la santé, les mesures que celui-ci peut adopter en vue d’éviter la transmission de maladies doivent demeurer raisonnables. Un risque zéro ne saurait être attendu, même s’il s’agit d’éviter des dangers hautement préjudiciables pour la population. Il faut viser un risque acceptable en procédant à la pondération de l’ensemble des intérêts concernés. En principe, plus le risque est important et plus les mesures permettant de le réduire seront justifiées. Le principe de proportionnalité exige que les mesures ordonnées soient dans un rapport raisonnable avec les risques qu’elles visent à éviter. Dans la mesure du possible, ces risques doivent ainsi être quantifiés. Cela signifie qu’il ne faut pas uniquement prendre en compte le pire des scénarios, mais également la probabilité que celui-ci se produise. Dans cette pondération, les conséquences sociétales et économiques des mesures doivent aussi être considérées. Dans le contexte de la maladie à coronavirus 2019, il convient donc d’examiner avec quelle probabilité et intensité cette maladie peut toucher la population et si les mesures ordonnées sont aptes à en diminuer sa propagation. Il faut également mettre en balance les conséquences négatives de la maladie avec celles des mesures ordonnées en se fondant sur l’état actuel des connaissances. Les mesures ordonnées ne doivent pas durer plus longtemps que nécessaire pour prévenir la propagation d’une maladie transmissible. En outre, les mesures doivent être réexaminées régulièrement (art. 40 al. 3 LEp). 

Le Tribunal fédéral examine en principe librement si une mesure répond à l’intérêt public et respecte le principe de proportionnalité; il s’impose toutefois une certaine retenue lorsqu’il s’agit de tenir compte de circonstances locales ou de trancher de pures questions d’appréciation. Tant qu’aucune disposition légale ne définit le niveau de risque acceptable, la frontière entre risques admissibles et risques inadmissibles demeure indéterminée. Il appartient alors en premier lieu au pouvoir exécutif, par le biais d’ordonnances, et non au tribunaux de définir ce qu’est le risque acceptable. A défaut, cette tâche reviendra aux autorités judiciaires. 

A cela s’ajoute que toute mesure de protection ou de prévention comporte une certaine incertitude quant à ses effets concrets futurs. Il en va d’ailleurs toujours ainsi des mesures de prévention des risques. En particulier, l’arrivée de nouvelles maladies infectieuses a pour corollaire une grande insécurité quant au choix des mesures adéquates. Cela signifie que ces mesures ne peuvent pas être prévues par le législateur, mais doivent être prises en tenant compte de l’état des connaissances du moment, généralement incomplet, ce qui laisse également une certaine marge de manœuvre aux autorités. Celles-ci ne peuvent toutefois invoquer cet état des connaissances pour prendre des mesures restrictives que si elles cherchent activement à actualiser ces connaissances. On ne saurait ainsi admettre qu’après une longue période de mesures restrictives, les autorités continuent de les maintenir en se fondant toujours sur l’état des connaissances qu’elles avaient lorsqu’elles les ont adoptées et en invoquant le principe de précaution. Plus les limitations de liberté durent longtemps, plus les exigences en matière de mise à jour de l’évaluation des risques augmentent. Ainsi, dès que les connaissances évoluent, les mesures doivent être adaptées, ce que l’art. 31 al. 4 LEp prévoit d’ailleurs expressément. Les mesures qui étaient considérées comme aptes à atteindre le but visé sur la base des connaissances au moment où elles ont été prises peuvent donc s’avérer inutiles postérieurement, en présence de nouvelles connaissances. A l’inverse, des mesures qui s’avéreraient inefficaces pour lutter contre la propagation d’une dangereuse maladie pourraient être renforcées. Cela a pour conséquence qu’une mesure ne peut pas être considérée comme étant illégitime du seul fait que, rétrospectivement et en présence de meilleures connaissances, elle n’apparaît pas comme étant optimale. Il peut ainsi être justifié de prendre directement des mesures rigoureuses, avant que ne surviennent de graves effets négatifs, afin d’éviter de devoir prendre des mesures encore plus restrictives par la suite.

Quant à la mesure en cause, le recourant estime en premier lieu que celle-ci n’est pas apte à atteindre le but visé. Selon lui, l’efficacité de la mesure visant à porter le masque facial n’est pas établie, ces masques ayant été conçus pour le personnel médical. Le recourant affirme que l’efficacité du masque dans la prévention de la transmission des virus est limitée, le moyen adéquat étant de son avis un respirateur. Il ajoute que l’OMS n’a recommandé le port du masque chirurgical que dans les situations où la distance sanitaire ne peut pas être respectée, comme par exemple dans les transports publics, que porter le masque sans instruction préalable est contreproductif et que le manque d’efficacité du port du masque ressort de l’observation de l’évolution de la situation sanitaire dans un canton tiers, où les cas ont malgré tout augmenté, en dépit du port du masque obligatoire dans les commerces, nécessitant l’adoption d’autres mesures (fermetures des night-clubs et discothèques). 

En premier lieu, force est de constater que, comme l’a déjà jugé le Tribunal fédéral et ainsi que l’a justement relevé le Conseil d’Etat, lorsque l’évaluation d’une mesure dépend de connaissances techniques controversées, le Tribunal fédéral n’admet une violation du principe de proportionnalité que si l’inaptitude de cette mesure à atteindre le résultat recherché paraît manifeste. En l’occurrence, le port du masque facial en vue de diminuer la propagation de la maladie à coronavirus 2019 est expressément préconisé par l’Office fédéral de la santé publique qui explique que « porter un masque au quotidien permet surtout de protéger les autres personnes. Une personne infectée peut être contagieuse sans le savoir jusqu’à deux jours avant l’apparition des symptômes. Ainsi, si tout le monde porte un masque dans un espace étroit, chaque personne est protégée des autres. Les masques ne garantissent pas une protection à 100 %, mais ils peuvent contribuer à ce que le nouveau coronavirus se propage moins rapidement » (cf. <https://www.ofsp.admin.ch&gt; sous : Maladies/ Maladies infectieuses: flambées, épidémies, pandémies/ Flambées et épidémies actuelles/ Coronavirus/ Masques). Cette mesure est également recommandée par l’OMS, qui retient que le port du masque doit être considéré comme normal lorsqu’on se trouve avec d’autres personnes. Cette organisation ajoute que pour que les masques soient aussi efficaces que possible, il est essentiel de les porter, de les ranger et de les laver ou de les jeter correctement (cf. <https://www.who.int&gt; sous : Maladie à coronavirus/ Protégez-vous). On peut donc en déduire que, fondée sur les connaissances du moment, la mesure en cause doit être considérée comme étant apte à atteindre le but visé, tendant à réduire la propagation de la maladie à coronavirus 2019.

D’ailleurs, après la mesure prise fin août 2020 par le Conseil d’Etat du canton de Fribourg, le Conseil fédéral a lui-même ordonné le port du masque facial dans tous les espaces clos et extérieurs accessibles au public des installations et établissements de suisse (art. 3b al. 1 de l’ordonnance COVID-19 situation particulière). Certes, comme le relève le recourant, il n’est pas exclu qu’une mauvaise utilisation du masque puisse avoir des effets contreproductifs, voire donner un faux sentiment de sécurité. Cela n’implique toutefois pas que le port du masque constitue une mesure inapte à protéger les personnes de la transmission du virus, mais signifie bien plus qu’il faut expliquer à celles-ci de quelle manière se protéger efficacement, comme l’ont d’ailleurs fait l’Office fédéral de la santé publique et l’OMS sur leurs sites Internet respectifs (en préconisant par exemple de se laver les mains avec une solution hydroalcoolique ou à l’eau et au savon avant de toucher le masque, de vérifier que le masque n’est ni troué, ni déchiré, de s’assurer que la bande métallique se trouve vers le haut et que la face interne du masque soit portée à l’intérieur, de s’assurer que le nez, la bouche et le menton sont couverts, d’éviter de croiser les lanières). A tout le moins, sur la base des connaissances du moment, cette mesure n’est pas inadaptée à la situation.

Dans l’éventualité où il serait démontré que le port du masque n’aurait aucun effet sur la propagation du virus, ou si cette propagation devenait inexistante avec le temps, les autorités cantonales seraient amenées à reconsidérer cette mesure. Il convient ainsi d’écarter le grief du recourant quant à la règle de l’aptitude.

 Quant à la nécessité de la mesure, le recourant explique que celle-ci est indifférenciée, ne prévoyant en particulier aucune exception pour les personnes qui pourraient attester de raisons notamment médicales les dispensant de porter le masque. De son avis, le Conseil d’Etat a omis d’examiner s’il existait d’autres mesures moins incisives pour la liberté personnelle des clients de commerces, comme par exemple des limitations du nombre de clients, respectivement une obligation de porter le masque uniquement lorsque le commerce accueille plus de dix clients simultanément. Il ajoute que les mesures réellement efficaces telles que le lavage et la désinfection des mains, ainsi que la distance sanitaire peuvent être facilement respectées dans tous les commerces, le simple fait de croiser une personne à moins d’un mètre cinquante n’étant selon lui pas suffisant pour être exposé à un risque de transmission. Le recourant ajoute pour terminer que le port du masque peut toujours intervenir sur une base volontaire, ceci afin que les personnes à risque puissent se protéger. 

Force est tout d’abord de rappeler que la mesure litigieuse n’est pas particulièrement restrictive, puisqu’elle se limite à imposer le port du masque aux personnes qui se trouvent dans des commerces ou des supermarchés du canton de Fribourg. Le recourant estime qu’une limitation à dix personnes par commerce serait une mesure moins incisive. Cet argument tombe néanmoins à faux, car limiter l’entrée des commerces à dix personnes, sans autres considérations, notamment d’espace à disposition, pourrait avoir pour conséquence que des gens se trouveraient serrés dans des petits commerces, alors que des grands commerces offrant d’importantes surfaces de vente seraient pratiquement vides. En outre, cette mesure obligerait les personnes désirant se rendre dans les commerces à attendre à l’extérieur et prolongerait de ce fait la durée des contacts avec des tiers. Le port du masque, s’il n’exclut pas d’emblée une limitation de la quantité de personnes pouvant être admises à l’intérieur d’un espace distinct, permet toutefois de laisser plus d’individus dans un même espace. Additionné à d’autres mesures, telles que la distanciation sociale (étant ici rappelé qu’il y a un risque accru d’infection lorsque la distance de 1,5 mètre ne peut pas être respectée pendant plus de 15 minutes; cf. art. 1.1 annexe 1 de l’ordonnance COVID-19 situation particulière) et la désinfection des mains (mais également la systématisation des tests et le traçage par exemple), le port du masque permet de réduire l’attente devant les magasins, respectivement d’augmenter le confort des consommateurs (cf. quant aux prescriptions relatives aux plans de protection pour l’ensemble des installations et des établissement accessibles au public qui peuvent rester ouverts: <https://www.ofsp.admin.ch&gt; sous : Maladies/ Maladies infectieuses: flambées, épidémies, pandémies/ Flambées et épidémies actuelles/ Coronavirus/ Mesures et ordonnances/ Plans de protection; cf. également art. 2.1 et 3.1 annexe 1 de l’ordonnance COVID-19 situation particulière). Cette mesure permet surtout d’éviter de prendre des mesures plus incisives, comme par exemple la fermeture pure et simple des commerces qui ne seraient pas de première nécessité.

Le recourant préconise en outre la fermeture des night-clubs et discothèques pour diminuer la propagation de la maladie à coronavirus 2019. Il faut reconnaître qu’il n’est pas exclu que cette mesure soit apte à limiter cette propagation (le Conseil fédéral ayant d’ailleurs ordonné la fermeture de ces établissements, cf. art. 5a al. 1 de l’ordonnance COVID-19 situation particulière). Il ne faut toutefois pas perdre de vue que seule une infime partie de la population se rend dans de tels lieux et qu’il ne s’agit en principe pas des personnes vulnérables, c’est-à-dire en particulier les personnes âgées (cf. <https://www.ofsp.admin.ch&gt; sous : Maladies/ Maladies infectieuses: flambées, épidémies, pandémies/ Flambées et épidémies actuelles/ Coronavirus/ Maladie, symptômes, traitement/ Personnes vulnérables). Par conséquent, la fermeture des lieux cités par le recourant, qui constitue par ailleurs globalement une mesure plus restrictive que l’obligation du port du masque en cause, ne saurait permettre à elle seule d’atteindre le but d’intérêt public poursuivi. Au demeurant, l’éventuelle fermeture des night-clubs et discothèques n’exclut pas, en plus, l’obligation de porter le masque dans les commerces.

 On mentionnera encore que les intérêts en présence permettent d’exclure toute violation du principe de proportionnalité. Le recourant fait en effet valoir à ce propos que son intérêt personnel réside notamment dans l’entrave à la communication avec autrui, expliquant que « pouvoir échanger un sourire avec son prochain, en faisant ses courses, est une joie toute simple mais nécessaire à l’épanouissement personnel ». Cet intérêt personnel, s’il est bien réel, ne saurait en aucun cas l’emporter sur l’intérêt public à une limitation de la propagation de la maladie à coronavirus 2019 et, partant, à la limitation du nombre d’hospitalisations et du nombre de morts, ainsi qu’aux dangers économiques liés à des complications de cette maladie, rencontrés par la collectivité. 

 Finalement, le recourant fait encore grief au Conseil d’Etat de ne pas avoir prévu d’exceptions à l’obligation du port du masque facial, notamment pour les personnes qui ne peuvent médicalement pas porter de tels masques. Force est ici de constater que rien n’indique qu’en dépit d’exceptions expressément prévues dans l’ordonnance fribourgeoise COVID-19, le Conseil d’Etat et les autorités compétentes auraient appliqué cette ordonnance de manière rigide, sans tolérer d’exception en cas d’attestations médicales par exemple, et en faisant ainsi fi du principe de proportionnalité. Dans le cadre d’un contrôle abstrait, cela ne suffit donc pas à qualifier la norme de disproportionnée (cf. supra consid. 2). Le Conseil d’Etat a d’ailleurs formalisé la prise en considération de ce principe en arrêtant, le 15 octobre 2020, le nouvel art. 5b de l’ordonnance fribourgeoise COVID-19 (ROF 2020_129). 

Sur le vu des considérants qui précèdent, la liberté personnelle du recourant ne saurait être considérée comme étant restreinte illégalement et de manière disproportionnée par l’art. 5a al. 1 let. a de l’ordonnance COVID-19. Le recours doit par conséquent être rejeté.

Succombant, le recourant doit supporter les frais judiciaires (art. 66 al. 1 LTF). Il n’est pas alloué de dépens (art. 68 al. 1 et 3 LTF).

 (Arrêt du Tribunal fédéral 2C_793/2020  du 8 juillet 2021 destiné à la publication)

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans Coronavirus - Covid 19, Protection de la personnalité | Tagué , , , , , , , , | Laisser un commentaire

Le registre des activités de traitement de données

Photo de Pixabay sur Pexels.com

[Le droit suisse de la protection des données, c’est aussi du droit du travail !

En effet, outre le renvoi de l’art. 328 b CO, le droit de la protection des données s’applique à des degrés divers dans toutes les étapes de la gestion des ressources humaines, de l’engagement au contentieux en passant par la tenue du dossier personnel.

Or le droit suisse de la protection des données va connaître un bouleversement considérable au 2e semestre 2022 avec l’entrée en vigueur de la loi révisée sur la protection des données et de son ordonnance.

Contrairement à ce que l’on peut lire ici ou là, le nouveau droit de la protection des données va entraîner des adaptations substantielles des pratiques et des manières de faire, particulièrement pour les employeurs qui ne se sont pas adaptés au RGPD car ils n’avaient pas à le faire.

Je vais donc présenter sur ce blog quelques-unes des nouveautés à venir pendant le 2e semestre 2021.]

A teneur de l’art. 12 al. 1 de la nouvelle loi fédérale du 25 septembre 2020 sur la protection des données (nLPD ; FF 2020 7397 – entrée en vigueur prévue dans le 2e semestre 2022), les responsables du traitement et les sous-traitants tiennent chacun un registre de leurs activités de traitement (Registre des activités de traitement).

L’obligation actuelle de déclarer certains fichiers (art. 11a de la loi fédérale du 19 juin 1992 sur la protection des données (LPD ; RS 235.1)) est donc remplacée par une obligation de tenir un registre des activités de traitement dans le nouveau droit de la protection des données.

Le registre des activités de traitement n’est pas un journal de celles-ci ou une simple copie des données personnelles traitées. Il est, bien au contraire, un « (…) descriptif général des activités de traitement qui permet d’avoir une vue d’ensemble de tous les traitements et de se faire rapidement une idée sur la conformité des traitements. Son contenu correspond dans une large mesure aux indications que la personne concernée doit recevoir en vertu du devoir d’informer et du droit d’accès. » [Sylvain Métille, Le traitement de données personnelles sous l’angle de la (nouvelle) loi fédérale sur la protection des données du 25 septembre 2020, SJ 2021 II 16].

Le registre n’est pas une fin en soi, mais est un instrument qui aide à respecter et mettre en vigueur le droit de la protection des données. Il fournit au responsable du traitement une vue d’ensemble des activités de l’entreprise en rapport avec la protection des données. On peut ajouter que le registre a des utilités pratiques très concrètes en ce qu’il peut être mis à profit immédiatement en cas de rédaction d’une déclaration d’information en matière de protection des données (Privacy Notice), de violations de la sécurité des données, de demande de droit d’accès ou de rectification, de demandes découlant d’enquêtes administrative ou pénale, etc.

Il n’existe aucune exigence formelle particulière pour la constitution et la tenue du registre (word, excel, solutions informatiques sophistiquées, etc.) Cela étant dit, le registre des activités de traitement s’inspirant très largement du droit européen (art. 30 RGPD), il devrait être possible d’adapter les modèles mis à dispositions par les autorités de contrôle européennes en la matière [voir par exemple : https://www.cnil.fr/fr/RGDP-le-registre-des-activites-de-traitement%5D.

Pour ce qui est du contenu, selon l’art. 12 al. 2 nLPD, le registre du responsable du traitement contient au moins les indications suivantes: a. l’identité du responsable du traitement; b. la finalité du traitement; c. une description des catégories de personnes concernées et des catégories de données personnelles traitées; d. les catégories de destinataires; e. dans la mesure du possible, le délai de conservation des données personnelles ou les critères pour déterminer la durée de conservation; f. dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données (art. 8 nLPD); g. en cas de communication de données personnelles à l’étranger, le nom de l’État concerné et les garanties prévues à l’art. 16, al. 2 permettant de déterminer si le niveau de protection de l’Etat destinataire est adéquat en l’absence de décision d’adéquation du Conseil fédéral.

Le registre du sous-traitant contient des indications concernant l’identité du sous-traitant et du responsable du traitement, les catégories de traitements effectués pour le compte du responsable du traitement ainsi que les indications prévues à l’art. 12 al. 2, let. f et g [mesures de sécurité, mesures en rapport avec la communication de données à l’étranger] (art. 12 al. 3 nLPD).

Les organes fédéraux déclareront leur registre d’activités de traitement au Préposé fédéral à la protection des données (PFPDT) (art. 12 al. 4 nLPD).

Le Conseil fédéral prévoit des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées (art. 12 al. 5 nLPD).

L’art. 12 al. 5 nLPD a été mis en œuvre dans l’art. 26 de l’Avant-projet d’ordonnance relative à la loi fédérale sur la protection des données (nOLPD) [https://www.admin.ch/gov/fr/accueil/documentation/communiques.msg-id-84103.html], en consultation jusqu’au 14 octobre 2021. Selon cette disposition, les entreprises et autres organismes de droit privé employant moins de 250 collaborateurs au début d’une année, ainsi que les personnes physiques, sont déliés de leur obligation de tenir un registre des activités de traitement, à moins que l’une des conditions suivantes soit remplie:  

a. le traitement porte sur des données sensibles à grande échelle; [sont des données sensibles les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales ; les données sur la santé, la sphère intime ou l’origine raciale ou ethnique ; les données génétiques ; les données biométriques identifiant une personne physique de manière  univoque ; les données sur des poursuites ou sanctions pénales et administratives ; les données sur des mesures d’aide sociale – art. 5 let. c nLPD]

b. le traitement constitue un profilage à risque élevé [le profilage est toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique; est un profilage à risque élevé tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu’il conduit à un appariement de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique; cf.  – art. 5 let. f et g nLPD]

L’article 26 concrétise donc l’art. 12 al. 5 nLPD en précisant qui est concerné par cette exception et quels sont les cas dans lesquels les risques d’atteintes sont limités. Il prévoit que les entreprises, et autres organismes de droit privé, de moins de 250 collaborateurs au début d’une année, indépendamment du taux d’occupation, et les personnes physiques sont déliés de leur obligation de tenir un registre des activités de traitement si les traitements ne portent pas sur des données sensibles à grande échelle (let. a) et ne constituent pas un profilage à risque élevé (let. b ; la notion renvoie à celle qui utilisée au sens de l’analyse d’impact sur la protection des données de l’art. 22 al. 2 nLPD ; sur l’analyse d’impact : https://droitdutravailensuisse.com/2021/07/14/lanalyse-dimpact-relative-a-la-protection-des-donnees/). [Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données, Rapport explicatif relatif à la procédure de consultation, Berne, 23 juin 2021, p. 38]

Il reste à voir ce que la pratique fera de l’exception de l’art. 26 de l’avant-projet d’ordonnance, s’il survit à la procédure de consultation. On ne le trouve pas particulièrement clair, ni facile d’application. Il s’agit d’ailleurs sans doute d’un faux problème, ou d’un leurre. En effet, comme indiqué ci-dessus, et comme l’écrit avec une naïveté feinte le Rapport explicatif du 23 juin 2021 (p. 38), il est en effet fort possible que les responsables de traitement qui pourraient ne pas être obligé de tenir ce registre au sens de l’art. 26 auraient de toute façon tout intérêt à le faire en raison des obligations mises à leur charge par d’autres dispositions de la nLPD (information, sécurité, data breach, etc.)

Allons plus loin.

L’exercice consistant à dresser un registre des traitements peut être long et fastidieux. Il faut aussi pourvoir à sa révisionet à sa mise à jour. Mais c’est aussi un instrument de travail important dans toutes les opérations touchant au traitement des données et à la protection des données. Autant le faire, donc, et savoir l’utiliser de manière positive. On peut penser à la contrainte de l’enregistrement du temps de travail : c’est fastidieux, voire paperassier, mais, bien utilisé, c’est une mine d’information pour qui sait les utiliser et une base solide pour quantités de décisions et de mesures de gestion. 

Ce qu’on ne peut éviter, il faut le vouloir – et savoir l’utiliser.

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)

Publié dans nouvelle LPD, Protection de la personnalité, Protection des données | Tagué , , , | Laisser un commentaire