Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

Al. 1 : Principe

L’al. 1 dispose que toute personne peut gratuitement demander au responsable du traitement si des données la concernant sont traitées. Par rapport au droit en vigueur, cette disposition n’a subi que des modifications rédactionnelles.

Al. 2 : Informations à communiquer

Selon l’al. 2, la personne concernée reçoit d’abord les informations qui doivent lui être communiquées en vertu du devoir d’informer (voir l’art. 13, al. 2 à 4 AP-LPD). Il s’agit principalement des informations qui sont nécessaires pour que celle-ci puisse faire valoir ses droits et pour que le traitement des données soit transparent. Les informations prévues aux let. a à g doivent dans tous les cas lui être communiquées. Il s’agit de l’identité et des coordonnées du responsable du traitement (let. a), des données traitées (let. b) et de la finalité du traitement (let. c). La personne concernée doit également être informée de la durée de la conservation des données ou, si cela n’est pas possible, les critères pour fixer cette dernière (let. d). Cette information lui permet notamment de savoir si le responsable du traitement conserve les données conformément aux principes de l’art. 4 AP-LPD. Comme la durée de conservation des données n’est pas toujours communiquée dans le cadre du devoir d’informer, la personne concernée doit, dans tous les cas, recevoir cette information lorsqu’elle exerce son droit d’accès. Le droit d’accès lui permet par ailleurs de savoir s’il existe une décision individuelle automatisée (let. e), auquel cas les informations prévues à l’al. 3 doivent également lui être fournies. Enfin, la personne concernée reçoit les informations disponibles sur l’origine des données (let. f), comme le prévoit déjà le droit en vigueur.

Al. 3 : Communication en cas de décision individuelle automatisée

Lorsque, à l’issue d’un traitement de données, une décision à l’égard de la personne concernée est prise, l’al. 3 prévoit qu’elle doit recevoir des informations supplémentaires sur le résultat de cette décision, la manière dont elle a été prise ainsi que sur les conséquences et sa portée. On pense ici en particulier aux décisions individuelles automatisées portant sur l’octroi d’un crédit ou d’une assurance, basées uniquement sur l’analyse de données relatives à la situation financière ou à la santé d’une personne (voir ch. 8.1.3.3). Les informations dont il est question ici vont au-delà de celles prévues à l’art. 15 AP-LPD. Celle-ci doit pouvoir comprendre comment la décision a été prise et quelles sont les conséquences pour elle. Le responsable du traitement doit ainsi lui communiquer quelles données ont été prises en compte et quelle importance elles ont eues sur la décision.

Le responsable du traitement peut refuser, restreindre ou différer la communication des renseignements conformément à l’art. 21. Les personnes privées peuvent également faire valoir des intérêts personnels tels que la protection de leurs secrets d’affaires, auquel cas il faut procéder à une pesée des intérêts. Ainsi, le responsable du traitement n’a pas à révéler à la personne concernée l’algorithme utilisé pour la prise de la décision et peut invoquer la protection des secrets d’affaires. Toutefois, il doit motiver le résultat de la décision de manière à permettre à la personne concernée de savoir sur la base de quelles données le résultat en question a été obtenu. La personne concernée doit par ailleurs connaître les effets de la décision sur sa position juridique ou sur sa situation concrète et les conséquences y relatives. Par ailleurs, si la personne concernée n’a eu connaissance d’une décision individuelle automatisée que lors de l’exercice de son droit d’accès, elle doit avoir la possibilité d’exprimer son avis (voir l’art. 15, al. 2, AP-LPD).

Al. 4 et 5

Selon l’al. 4, le responsable du traitement peut communiquer à la personne concernée des données sur sa santé par l’intermédiaire d’un médecin qu’elle a désigné. Cette disposition est tirée du droit en vigueur et n’a subi qu’une modification rédactionnelle.

L’al. 5 a fait l’objet de quelques modifications rédactionnelles. Le responsable du traitement reste en principe tenu de fournir les renseignements demandés lorsque le traitement est effectué par un sous-traitant.

Le non-respect des obligations définies à l’art. 20 AP-LPD est sanctionné (voir l’art. 50, al. 1, let. a, AP-LPD).