Projet

Annexe : Guide d’implémentation des directives pour SGPD

(version préliminaire 0.9 du 30.10.2007)

1. Licéité (art. 4, al. 1 LPD)

Objectif du principe: assurer que le traitement de données personnelles est entrepris d’une manière licite.

1.1 Motifs justificatifs (art. 13 LPD)

Mesure

Les personnes privées qui ‘traitent’ (art. 3, let. e LPD) des ‘données personnelles’ (art. 3, let. a LPD) ont besoin d’un motif justificatif, en d’autres termes, du consentement de la ‘personne concernée’ (art. 3, let. b LPD), d’un intérêt prépondérant privé ou public ou d’une loi.

Implémentation (art. 4, al. 5 LPD)

Le consentement par la ‘personne concernée’ n’est valable, que si elle exprime librement sa volonté, après avoir été dûment informée. Lorsqu’il s’agit de ‘données sensibles’ (art. 3, let. c LPD) ou de ‘profils de la personnalité’ (art. 3, let. d LPD), son consentement doit au surplus être explicite. Il s’agit en d’autres termes de vérifier l’absence de toutes contraintes directes ou indirectes, ainsi que la pertinence de l’information délivrée. Le consentement est explicite, si la ‘personne concernée’ a signé de manière autographe ou électronique le document fourni. Il faut vérifier, le cas échéant, la vraisemblance de l’intérêt prépondérant privé ou public, ou alors l’existence d’une base légale. Il peut s’agir d’une base légale au niveau fédéral (loi au sens formel ou ordonnance ou autre) ou même au niveau cantonal. Le motif justificatif ne vaut que pour le but indiqué par la loi.

1.2 Base légale (art. 17, 19 et 20 LPD)

Mesure

Les organes fédéraux ne sont en droit de traiter des données personnelles que s’il existe une base légale; lors du traitement de données sensibles ainsi que de profils de la personnalité, celui-ci doit être expressément prévu dans une base légale au sens formel (art. 3, let. j LPD).

Implémentation

Vérifier quel organe fédéral est responsable du traitement de données, ainsi que l’existence d’une base légale, de surcroît ‘au sens formel’ pour des données sensibles ou des profils de la personnalité.

Vérifier, si la base légale contient tous les éléments nécessaires.

Dans le cas où des données personnelles sont rendues accessibles en ligne, s’assurer que cela est prévu expressément. S’agissant de données sensibles ou de profils de la personnalité, un accès en ligne n’est autorisé que si une loi au sens formel le prévoit expressément.

Concernant les données sensibles ou les profils de la personnalité, dans les cas où il n’y a pas de base légale formelle expresse, il faut vérifier s’il s’agit d’un cas d’exception selon l’art. 17, 2^e al. LPD.

Lorsqu’il s’agit d’un traitement de données automatisé dans le cadre d’essais pilotes, il faut vérifier, si les conditions selon l’art. 17a LPD sont remplies.

Pour la communication de données personnelles, ou il n’existe pas de base juridique au sens susmentionné, il doit être vérifié, si une des conditions de l’art. 19 LPD est remplie.