Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

trat mixte selon les obligations du sous-traitant. Un employé soumis à un contrat de travail n’est pas un sous-traitant vis-à-vis de son employeur.

Définitions non modifiées

Les définitions suivantes ne subissent aucune modification par rapport au droit en vigueur, si ce n’est des adaptations rédactionnelles : personne concernée (let. b), communication (let.

e) et organe fédéral (let. g).

Définitions abrogées

Maître du fichier : cette notion est remplacée par celle de « responsable du traitement ».

Fichier : l’AP-LPD prévoit de renoncer à cette définition. Cela correspond à la solution retenue par le P-STE 108, qui recourt en lieu et place à la notion de traitement. En effet, compte tenu des nouvelles technologies, les données peuvent aujourd’hui être exploitées comme un fichier, alors même qu’elles sont disséminées. Un exemple parlant est le profilage, par lequel on va chercher des données dans différents serveurs afin d’évaluer des aspects de la personnalité d’un individu. Selon le droit actuel, ces activités, de même que le profilage, échappent aux dispositions de la loi impliquant la présence d’un fichier, comme le droit d’accès (art. 8 LPD) ou le devoir d’information (art. 14 LPD), alors que ce sont justement ce type de situations qui nécessitent une plus grande transparence. Le Conseil fédéral relève par ailleurs qu’une partie de la doctrine tend à interpréter très largement la notion de fichier, le critère déterminant étant que l’attribution d’une donnée à une personne ne doit pas entraîner d’efforts disproportionnés⁸⁴.

Loi au sens formel : l’AP-LPD propose de supprimer cette définition car elle est superflue.

8.1.2 Dispositions générales de protection des données

8.1.2.1 Art. 4 Principes

Al. 1 et 2 : Licéité et proportionnalité

Les al. 1 et 2 relatifs aux principes de licéité, de bonne foi et de proportionnalité restent inchangés, sous réserve d’une modification rédactionnelle concernant la version française de l’al. 2.

Al. 3 : Finalité et reconnaissabilité

L’al. 3 regroupe les principes de finalité et de reconnaissabilité actuellement contenus aux alinéas 3 et 4 de la loi. Pour mieux aligner le droit fédéral au texte du P-108 (art. 5, ch. 4, let. b), l’AP-LPD prévoit que les données doivent être collectées pour des finalités déterminées et clairement reconnaissables pour la personne concernée. Cette nouvelle formulation n’implique pas de changements matériels par rapport au droit en vigueur : la collecte des données et les finalités du traitement doivent être reconnaissables. Tel est en principe le cas lorsque l’on informe la personne concernée, que ces traitements sont prévus par la loi, ou lorsqu’ils ressortent clairement des circonstances. Le caractère déterminé des finalités implique que des buts vagues, non définis ou imprécis ne sont pas admis. Cette qualité

s’apprécie selon les circonstances, l’objectif étant de concilier les intérêts des personnes concernées et ceux du responsable du traitement, respectivement du sous-traitant, et de la société.

L’AP-LPD, toujours dans un but de rapprochement terminologique avec les textes européens (art. 5, par. 4, let. b du P-STE 108, art. 4, par. 1, let. b de la directive [UE] 2016/680 et 5, par. 1, let. b du règlement [UE] 2016/679), prévoit dans le même alinéa que les données ne peuvent être traitées ultérieurement de manière incompatible avec les finalités initiales. Tel est le cas lorsque le traitement ultérieur peut légitimement être considéré par la personne concernée comme inattendu, inapproprié ou contestable. On peut citer les cas suivants :

 l’utilisation à des fins publicitaires d’adresses obtenues lors de la récolte de signature pour

une campagne politique ;