Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

8.1.5.1 Art. 23 Atteintes à la personnalité

L’art. 28 CC ne définit pas la notion d’atteinte à la personnalité. L’art. 23 AP-LPD concrétise cette notion par rapport aux atteintes à la personnalité causées par un traitement de données.

Al. 1 : Principe

L’al. 1 prescrit qu’un traitement de données ne doit pas porter une atteinte illicite à la personnalité de la personne concernée. Il reprend mot pour mot la norme en vigueur. Le droit de disposer de ses propres données personnelles, protégé par le droit à l’autodétermination en matière informationnelle, peut vite être limité par un traitement de données. Il est donc primordial que les personnes privées, qui effectuent une bonne part des traitements, respectent les principes de protection des données.

Al. 2 : Fictions d’atteintes à la personnalité

L’al. 2 se réfère notamment au respect des principes applicables aux traitements des données et prévoit quatre cas de figure où il y a atteinte à la personnalité. La let. a dispose qu’il y a atteinte à la personnalité lorsque le responsable du traitement traite des données en violation des principes définis aux art. 4, 5, 6 et 11. La let. b ajoute comme cas de figure le fait de traiter des données personnelles contre la manifestation expresse de la volonté de la personne concernée. Il découle de cette disposition que la personne concernée a le droit

d’interdire explicitement un certain traitement, sans avoir à remplir d’autres conditions (opting out). Cette possibilité, qui existe déjà dans le droit en vigueur, est aussi prévue à l’art. 8, let. d, du P-STE 108. Selon la let. c, il y a également atteinte à la personnalité lorsque des données sensibles sont transmises à des tiers. Enfin, le fait d’effectuer un profilage sans le consentement exprès de la personne concernée constitue également une atteinte à la personnalité.

L’énumération n’est pas exhaustive. En d’autres termes, un autre cas de figure de traitement que ceux mentionnés ci-dessus peut constituer une atteinte à la personnalité. L’indication du motif justificatif est par ailleurs abandonnée aux let. b et c, comme cela avait été le cas pour la let. a lors de la révision de 2003¹⁰¹. Cette modification vise uniquement à améliorer la clarté ; elle est conforme à l’art. 28 CC, qui prévoit deux alinéas distincts pour régler d’une part l’atteinte illicite à la personnalité et pour définir d’autre part les cas où l’atteinte est licite.

L’AP-LPD regroupe les motifs justificatifs à l’art. 24.

Al. 3 : Absence d’atteinte

Selon l’al. 3, il n’y a pas atteinte à la personnalité lorsque la personne concernée a rendu les données accessibles à tout un chacun et ne s’est pas opposée expressément au traitement. Cette règle est reprise telle quelle du droit en vigueur. Elle est logique puisque, dans un tel cas de figure, la liberté individuelle de disposer de ses données personnelles ne peut être violée. Toutefois, cette disposition n’a une portée que si le traitement a lieu conformément aux dispositions légales, soit dans le respect des principes visés aux art. 4, 5, 6 et 11.

8.1.5.2 Art. 24 Motifs justificatifs

L’art. 24 définit les motifs qui rendent licites les traitements de données portant atteinte à la personnalité. Il correspond à la norme en vigueur sous réserve de quelques modifications de portée mineure.

Al. 1 : Principe

L’al. 1 pose le principe selon lequel une atteinte à la personnalité – soit tout traitement de données portant atteinte à la personnalité - est illicite, à moins qu’elle ne soit justifiée par le consentement de la personne concernée, par un intérêt prépondérant privé ou public ou par la loi. Cette disposition reprend la règle définie à l’art. 28, al. 2, CC. Aucune pesée des intérêts n’est en principe prévue dans le cas où la personne concernée donne son consentement ou que le motif justificatif est prévu par la loi. Une telle pesée est en revanche nécessaire pour établir si l’intérêt public ou privé est bien prépondérant. Cet examen met en ba-