Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

8.1.6.3 Art. 28 Traitements de données dans le cadre d’essais pilotes

Les modifications apportées à l’art. 17a LPD n’ont pas pour but d’affaiblir les conditions applicables lorsqu’un organe fédéral envisage d’effectuer un traitement de données automatisé dans le cadre d’un essai pilote avant l’entrée en vigueur d’une loi au sens formel, mais uniquement de diminuer la densité normative. En effet, les organes fédéraux ont peu recouru à cette norme depuis son entrée en vigueur. De plus, certaines dispositions de l’art. 17a LPD peuvent être fixées dans la future ordonnance d’exécution.

Les conditions fixées aux al. 1 et 2 sont identiques à celles de l’art. 17a, al. 1, LPD sous réserve que la notion de « profils de la personnalité » est remplacée par celle de «profilage ». De plus, il est précisé à la let. c qu’une phase d’essai est nécessaire, « en particulier pour des raisons techniques ». Cette modification est due à la suppression l’art. 17a, al. 2, LPD qui énumère dans quels cas une phase d’essai peut être considérée comme indispensable pour traiter des données. Pour les motifs indiqués ci-dessus, ces cas peuvent être réglés dans une ordonnance d’exécution.

Les al. 3 et 4 sont inchangés par rapport au droit en vigueur, sous réserve de certaines modifications rédactionnelles.

8.1.6.4 Art. 29 Communication de données personnelles

L’art. 29 AP-LPD ne modifie pas le principe fixé à l’art. 19 LPD selon lequel les organes fédéraux ne sont en droit en principe de communiquer des données personnelles que s’il existe une base légale mais précise que la notion de base légale correspond à celle prévue à l’art. 27, al. 1 et 2, AP-LPD. Il résulte de cette précision que l’art. 29 ne renvoie pas aux exceptions prévues à l’art. 27, al. 3. En effet, les cas dans lesquels les organes fédéraux sont habilités à communiquer des données personnelles, en l’absence d’une base légale, sont énumérés de manière exhaustive à l’art. 29, al. 2, let. a à e, AP-LPD.

La notion de « données personnelles » de l’al. 1 vise également les données sensibles. Les exceptions prévues à l’al. 2, let. a à e, sont dès lors également applicables lorsqu’un organe fédéral envisage de communiquer ce type de données.

L’exception prévue à l’al. 2, let. a est élargie : en l’absence d’une base légale, un organe fédéral est en droit de communiquer des données dans un cas d’espèce non seulement lorsque ces données sont indispensables au destinataire pour l’accomplissement d’une tâche légale mais aussi lorsque cela est indispensable pour l’organe fédéral qui envisage de communiquer les données.

La let. c constitue une nouvelle exception qui n’est pas prévue à l’art. 19, al. 1, LPD. Elle est également introduite à l’art. 27, al. 3, let. c AP-LPD (voir ch. 8.1.6.2).

L’art. 29, al. 3 AP-LPD correspond à l’art. 19, al. 1^bis, LPD, sous réserve d’une modification ponctuelle. Cette adaptation a pour but d’améliorer la coordination entre la LTrans et la LPD en indiquant clairement que la condition prévue à la let. b (existence d’un intérêt public prépondérant) constitue non seulement une alternative à l’art. 29, al. 1 et 2, mais qu’elle est également indépendante de ces dispositions. La mesure proposée consiste à remplacer, dans la phrase introductive de l’art. 29, al. 3, AP-LPD, le terme « auch » (qui n’existe pas dans la version française) par celui de « zudem / en outre » et de le placer en début de phrase afin de montrer explicitement que l’al. 3 constitue une base légale supplémentaire à celles prévues à l’al. 1.

L’art. 29, al. 4 ne subit pas de modification par rapport à l’art. 19, al. 2, LPD.

Par contre, l’exigence de base légale pour les « procédures d’appel » dans le secteur public est abandonnée (art. 19, al. 3, LPD), car d’une part elle rompt le caractère technologiquement neutre de la LPD et d’autre part elle est dépassée à l’ère de la société numérique.

Les al. 5 et 6 correspondent aux al. 3^biset 4 de l’art. 19 LPD.

8.1.6.5 Art. 30 Opposition à la communication de données personnelles

Cette disposition correspond à l’art. 20 LPD, sous réserve de certaines modifications rédactionnelles.