Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

sée a des effets juridiques pour la personne concernée lorsqu’elle influe directement sur sa position juridique. Pour qu’elle l’affecte de manière significative, il faut que la décision individuelle automatisée produise des effets concrets qui soient d’une certaine gravité. Les

exemples sont nombreux. On peut par exemple penser aux conditions selon lesquelles une personne peut conclure un contrat de leasing (par ex. intérêts, durée du contrat, délais de paiement) qui dépendent uniquement de l’examen automatisé de sa situation financière. On peut aussi penser à l’assurance-maladie qui, sur la base d’une évaluation des données de santé de la personne concernées par un algorithme, refuse de conclure un contrat avec elle. Les amendes en matière de circulation routière, qui sont envoyées automatiquement au conducteur sur la base d’une prise de vue, sont également des décisions individuelles automatisées.

Une décision individuelle automatisée peut également reposer sur un profilage au sens de l’art. 3, let. f AP-LPD. Il ne s’agit toutefois pas d’une condition. Les deux notions ne se recoupent ainsi pas entièrement. Le critère central pour les différencier est celui de

l’automatisation : un profilage ne doit pas forcément résulter d’un processus automatisé. Un autre critère réside dans les effets sur la personne concernée. Pour la décision individuelle automatisée, il faut qu’il en résulte certaines conséquences concrètes pour la personne concernée, alors que tel n’est pas le cas pour le profilage. Les données sont analysées en vue d’un but déterminé, mais il n’est pas nécessaire que cette analyse ait des effets directs sur la personne concernée.

Al. 2 : Audition

Selon l’al. 2, le responsable du traitement doit donner à la personne concernée la possibilité de faire valoir son point de vue sur la décision individuelle automatisée et sur les données traitées. Combiné avec le devoir d’information, cette audition garantit que la personne concernée n’est pas soumise à des décisions prises sans aucune intervention humaine. Elle doit avoir notamment la possibilité de donner son avis concernant la décision prise et les données qui y ont conduit. Le but est entre autres d’éviter que la personne concernée ne subisse des conséquences juridiques ou matérielles du fait d’un traitement effectué sur la base de données incomplètes, dépassées ou non pertinentes. Cette règle est également dans l’intérêt du responsable du traitement, pour lequel une décision individuelle automatisée erronée peut avoir des conséquences négatives. Tel est le cas par exemple lorsque il refuse de conclure un contrat avec une personne parce que cette dernière est qualifiée par erreur de non-solvable. L’obligation d’informer et d’entendre la personne concernée n’a toutefois pas d’effet sur la liberté contractuelle. Lorsque le responsable du traitement ne permet pas à la personne concernée faire valoir son point de vue, cette dernière peut faire valoir son droit par le biais du droit d’accès de l’art. 20 AP-LPD.

La loi ne fixe pas le moment auquel l’information et l’audition doivent avoir lieu. En conséquence, la personne concernée peut être informée et entendue avant ou après la décision. Il est ainsi notamment possible de lui notifier une décision individuelle automatisée – qui sera désignée comme telle – et de l’entendre dans le cadre de l’exercice du droit d’être entendu, ou lors d’une procédure de recours, pour autant qu’il n’en résulte pas de frais supplémentaires (par ex. des frais de procédure) pour elle.

Al. 3 : Exceptions

L’al. 3 dispose que le devoir d’informer et d’entendre la personne concernée ne s’applique pas lorsque la décision individuelle automatisée est prévue par la loi. Pour les organes fédéraux, il s’agira d’une loi au sens de celles visées à l’art. 27 de l’AP-LPD.

Le non-respect de l’obligation d’informer est sanctionné (voir l’art. 50, al. 1, let. a et b, ch. 1 et 2 AP-LPD).

8.1.3.4 Art. 16 Analyse d’impact du traitement

L’art. 16 AP-LPD instaure une obligation de procéder à une analyse d’impact du traitement. Cette disposition concrétise les exigences posées à l’art. 8^bis, al. 2, du P-STE 108 et des art. 27 ss de la directive (UE) 2016/680. Les art. 35 s. du règlement (UE) 2016/679 contiennent des dispositions similaires.