Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Let. f : Profilage

Le Conseil fédéral propose de supprimer la notion de « profil de la personnalité » telle qu’elle est définie à l’art. 3, let. d, LPD.

Le terme de « profil de la personnalité » est une spécificité de la législation suisse, qui

n’existe pas en droit européen et qui n’est pas connu des législations étrangères. Depuis l’entrée en vigueur de la LPD en 1992, cette notion n’a pas ou peu été appliquée et semble aujourd’hui dépassée par l’évolution technologique. Cette définition est remplacée dans l’AP-LPD par celle de « profilage », que l’on trouve aussi à l’art. 3 par. 4 de la directive (UE)

2016/680 et à l’art. 4, par. 4 du règlement (UE) 2016/679. Les deux notions, bien que présentant de nombreuses similitudes, ne couvrent pas le même état de fait. Le profil de la personnalité est le résultat d’un traitement et traduit ainsi quelque chose de statique. A l’inverse, le profilage désigne une forme particulière de traitement, et constitue donc un processus dynamique. Ce dernier est par ailleurs toujours orienté vers une finalité particulière. Le profilage se définit ainsi comme toute exploitation de données, personnelles ou non, qui consiste à analyser ou prédire les caractéristiques personnelles essentielles d’une personne. L’AP-LPD mentionne comme exemple de caractéristiques essentielles le rendement au travail, la situation économique, la santé, la sphère intime, ou les déplacements. L’analyse de ces caractéristiques peut par exemple avoir pour but de déterminer si une personne est indiquée pour une certaine activité.

La définition légale englobe l’exploitation de données personnelles et non personnelles et tient ainsi compte du fait qu’avec les technologies actuelles (telles le Big Data), l’analyse de données sans lien avec une personne fasse émerger des données personnelles. Il est sans importance que celui qui procède au profilage le fasse pour lui ou pour le compte d’un tiers. Il importe également peu que l’analyse des données soit automatisée ou non (pour la délimitation avec la décision individuelle automatisée, voir ch. 8.1.3.3). Le degré d’automatisation du traitement (par ex. avec ou sans algorithme) n’est en effet pas un critère approprié pour définir quelles activités nécessitent une protection particulière de la personne concernée. Ce qui est déterminant c’est que les données permettent d’apprécier et de prédire des caractéristiques essentielles. De cette manière le remplacement de la notion de profil de la personnalité par celle de profilage n’entraîne pas de lacune dans la protection des personnes concernées. Par ailleurs, la nouvelle définition permet de mieux cibler la base légale à conférer aux organes fédéraux. Seuls ceux qui procèdent effectivement à du profilage doivent en recevoir la compétence.

Les données issues d’un profilage sont en principe des données personnelles au sens de l’art. 3, let. a AP-LPD, qui, selon les circonstances, peuvent aussi constituer des données sensibles.

Let. h : Responsable du traitement

L’AP-LPD prévoit d’introduire cette notion, afin d’user de la même terminologie que celle du P-STE 108 (art. 2 let. b), de la directive (UE) 2016/680 (art. 3 ch. 8) et du règlement (UE)

2016/679 (art. 4 ch. 7). Par « responsable du traitement », on entend la personne privée ou l’organe fédéral qui détermine les finalités, les moyens et l’étendue du traitement des données. Deux critères cumulatifs doivent être remplis pour que l’on ait affaire à un « responsable du traitement »: la personne privée ou l’organe fédéral doit déterminer d’une part dans quels buts les données sont traitées et d’autre part par quels moyens. Cette définition se distingue ainsi partiellement de celle de « maître du fichier » qui n’implique pas la réalisation de la seconde condition. Le critère déterminant n’est plus de savoir qui décide du contenu du fichier mais des moyens du traitement des données envisagé.

Let. i : Sous-traitant

Il s’agit de la personne privée ou de l’organe fédéral qui traite des données pour le compte du responsable du traitement. Cette notion reprend celles du P-STE 108 (art. 2 let. f), de la directive (UE) 2016/680 (art. 3 ch. 9) et du règlement (UE) 2016/679 (art. 4 ch. 8). Le contrat liant le responsable du traitement et le sous-traitant peut être de nature diverse. Il peut s’agir d’un mandat (art. 394ss CO), d’un contrat d’entreprise (art. 363ss CO) voire encore d’un con-