Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

lance d’une part l’intérêt de la personne concernée à préserver sa liberté de disposer de ses données personnelles notamment, et d’autre part l’intérêt de l’auteur du traitement. L’atteinte ne sera licite que si l’intérêt au traitement des données l’emporte sur l’intérêt de la personne concernée à disposer de ses données.

Al. 2 : Intérêts prépondérants de la personne qui traite des données personnelles

Cette disposition précise dans quels cas les intérêts prépondérants de la personne qui traite des données personnelles entrent en considération. Cette liste correspond pour l’essentiel à celle en vigueur et n’est pas exhaustive. Elle mentionne diverses finalités qui justifient un traitement des données et qui peuvent l’emporter sur l’intérêt de la personne concernée.

Schématiquement, elle comprend trois catégories de traitements : ceux réalisés à des fins économiques, ceux réalisés pour le compte des médias et ceux réalisés à des fins non liées à la personne, de recherche par exemple. Dans certains cas, la finalité du traitement ne suffit pas à elle seule pour justifier une atteinte à la personnalité. Le traitement doit respecter certaines conditions supplémentaires afin que le motif justificatif d’un intérêt prépondérant puisse le cas échéant être invoqué. Il s’agit principalement des let. b, c, e et f. Dans ces cas, il y a lieu en premier lieu d’examiner si le traitement en question respecte les conditions légales avant de procéder à une pesée des intérêts en cause.

Al. 2, let. c : Traitement dans le but d’évaluer le crédit de la personne concernée

Cette disposition introduit le critère de la majorité. Elle vise à protéger les mineurs, comme le veut la révision. Cette modification devrait avoir une portée limitée vu que la capacité de contracter des personnes mineures est restreinte. Des cas d’abus sont néanmoins possibles comme l’a révélé la procédure ouverte par le préposé contre l’entreprise Moneyhouse¹⁰².

Al. 2, let. e : Traitements à des fins de recherche

Le motif justificatif prévu à l’al. 2, let. e pour les traitements de données personnelles à des fins qui ne se rapportent pas à des personnes notamment dans le cadre de la recherche, de la planification ou de la statistique est légèrement renforcé. Ce type de traitement de données n’est dorénavant licite que si les conditions des al. 1 à 3 sont remplies. Cette réglementation doit renforcer la protection des données sensibles. Cette mesure tient compte des possibilités offertes par le Big Data et de l’importance toujours plus grande du numérique dans la vie quotidienne, qui implique également une augmentation du nombre de traitements de données sensibles.

En vertu du ch. 1, les données personnelles doivent être rendues anonymes dès que le but du traitement le permet. Ainsi, lorsqu’il n’est plus nécessaire de disposer de données personnelles pour la recherche, la planification ou la statistique, celles-ci doivent être anonymisées. Ce principe résulte déjà de l’art. 4, al. 4 AP-LPD. Une violation de cette règle constitue une atteinte à la personnalité selon l’art. 23, al. 2, let. a qui peut être justifiée par un des motifs prévus à l’art. 24. En vertu de la nouvelle disposition prévue à l’art. 24, al. 2, let. e, AP-LPD, il n’est dorénavant plus possible de justifier une violation de l’art. 4, al. 4 AP-LPD au motif qu’il s’agit d’un traitement à des fins de recherche, de planification ou de statistique.

Des données sensibles ne peuvent être communiquées à des tiers que sous une forme ne permettant pas d’identifier la personne concernée (ch. 2). La communication de données sensibles à des tiers constitue une atteinte à la personnalité selon l’art. 23, al. 2, let. a AP-LPD qui peut être justifiée par un des motifs prévus à l’art. 24. En vertu de la nouvelle condition prévue au ch. 2, il n’est dorénavant plus possible de justifier une communication de données personnelles sensibles à des tiers au motif qu’il s’agit d’un traitement à des fins de recherche, de planification ou de statistique.

Enfin, en vertu du ch. 3, les résultats ne peuvent être publiés que sous une forme ne permettant pas d’identifier les personnes concernées, comme c’est du reste le cas aujourd’hui.

8.1.5.3 Art. 25 Prétentions

L’art. 25 définit les prétentions que la personne concernée peut faire valoir contre des personnes privées.