Rapport explicatif

N° référence: COO.2180.109.7.185665 / 212.9/2015/00001

1 Présentation du projet

1.1 Contexte national

1.1.1 Droit en vigueur

La protection des données est actuellement régie, au niveau fédéral, par la loi fédérale du 19 juin 1992 sur la protection des données (LPD)¹ qui est entrée en vigueur le 1^erjuillet 1993.

La LPD régit le traitement de données concernant des personnes physiques et des personnes morales effectué par des personnes privées et des organes fédéraux (art. 2, al. 1). Cette loi ne s’applique toutefois pas aux données personnelles qu’une personne physique traite pour un usage exclusivement personnel et qu’elle ne communique pas à des tiers (al. 2, let. a), aux délibérations des Chambres fédérales et des commissions parlementaires (al. 2, let. b), aux procédures pendantes civiles, pénales, d’entraide judiciaire internationale ainsi que de droit public et de droit administratif, à l’exception des procédures administratives de première instance (al. 2, let. c), aux registres publics relatifs aux rapports juridiques de droit privé (al. 2, let. d) et enfin aux données personnelles traitées par le Comité international de la Croix-Rouge (CICR) (al. 2, let. e).

La LPD fixe les principes à respecter lors du traitement de données. Elle prescrit en particulier que toute collecte de données personnelles ne peut être entreprise que d’une manière licite (art. 4, al. 1), que le traitement de ces dernières doit être effectué conformément aux principes de la bonne foi et de la proportionnalité (art. 4, al. 2) et uniquement dans le but qui est indiqué lors de la collecte, qui est prévu par une loi ou qui ressort des circonstances (art. 4, al. 3). La collecte de données, en particulier la finalité du traitement, doivent en outre être reconnaissables pour la personne concernée (art. 4, al. 4). L’art. 4, al. 5 détermine quant à lui les conditions applicables au consentement de la personne concernée. D’autre part, la personne ou l’organe fédéral qui traite des données personnelles doit s’assurer qu’elles sont correctes (art. 5).

La LPD règle la communication des données à l’étranger (art. 6), de même que le droit d’accès (art. 8 à 10). L’art. 10a régit le traitement de données par un tiers. L’art. 11a prévoit une obligation pour le Préposé fédéral à la protection des donnée et à la transparence (ciaprès « préposé ») de tenir un registre des fichiers en ligne et accessible au public ainsi qu’un devoir pour les maîtres du fichier de déclarer leurs fichiers sous réserve d’exceptions.

La section 3 contient des dispositions applicables aux traitements de données effectués dans le secteur privé. Ainsi, la LPD interdit aux personnes privées qui traitent des données personnelles de porter une atteinte illicite à la personnalité des personnes concernées (art. 12, al. 1) et en particulier de traiter des données contre la volonté expresse de la personne concernée en l’absence de motif justificatif (art. 12, al. 2, let. b et art. 13). L’art. 14 prévoit une obligation pour les personnes privées d’informer la personne concernée de toute collecte de données sensibles ou de profils de personnalité les concernant, sous réserve d’exceptions. La LPD règle en outre les prétentions de droit civil que les personnes lésées peuvent faire valoir, ainsi que la procédure applicable (art. 15).

Les art. 16 à 25 LPD régissent le traitement de données personnelles par des organes fédéraux. Ceux-ci ne sont en droit de traiter des données personnelles que s’il existe une base légale (art. 17, al. 1). Une base légale dans une loi au sens formel est exigée pour le traitement de données sensibles ou de profils de la personnalité (art. 17, al. 2). L’art. 18a prévoit une obligation pour les organes fédéraux d’informer la personne concernée de toute collecte de données personnelles la concernant, sous réserve de certaines exceptions (art. 18b). La communication de données personnelles à des tiers est subordonnée en principe à

l’existence d’une base légale (art. 19, al. 1). Les données personnelles ne peuvent être rendues accessibles au moyen d’une procédure d’appel que si cela est prévu expressément par la loi (art. 19, al. 3). Les exigences sont encore plus strictes pour les données sensibles ou

1 RS 235.1