Rapport sur les résultats

Rapport rendant compte des résultats de la consultation

3.4. Utilisation de logiciels pour collecter les données personnelles (art. 10d P-OA 3)

Cantons : Les cantons (à l’exception de VD) sont d’accord avec cette disposition.

Partis : Le PSS et l’UDC n’ont pas de remarques sur cette disposition.

Autres milieux intéressés : L’USS se félicite de manière générale de ce que le SEM entende utiliser des logiciels pour éviter une collecte excessive de données sensibles des personnes concernées, même s’il est hautement improbable dans la pratique de parvenir à l’empêcher entièrement. Différents participants (dont AI.ch, AvenirSocial, le CSP, l’OSAR, Sosf et la CRS) demandent que le logiciel qui sera employé soit certifié par un organisme indépendant, comme le permet l’art. 13 de la loi sur la protection des données (LPD). Ils réclament en outre une définition plus précise des conditions auxquelles il est possible de recourir à un logiciel et des critères régissant la collecte de données dans ce cadre. Une définition de ce qu’il faut entendre concrètement par « norme forensique » est aussi demandée (not. par AvenirSocial, AlgorithmWatch, Société numérique, l’EPER, l’OSAR et le HCR). Quelques participants (dont AI.ch, l’EPER, l’OSAR, la CRS et le HCR) signalent que le SEM doit soumettre un code de conduite pour contrôle et avis au Préposé fédéral à la protection des données et à la transparence (PFPDT), comme prévu à l’art. 11 LPD. Le cas particulier des informations protégées par un mot de passe et leur communication par les intéressés est une autre question soulevée dans les avis reçus, avec la demande que soit mentionnée dans l’ordonnance les conséquences d’un refus de divulguer ces informations (not. AI.ch et le HCR).

D’autres participants (not. Sosf et Solinetz ZH) s’inquiètent de la confidentialité et de la sécurité des données en cas de recours à un logiciel. L’ODAGE recommande d’utiliser le cas échéant les logiciels d’analyse en combinaison avec des mots clés, afin de cibler les données pertinentes et d’exclure les données sensibles ou celles couvertes par un secret professionnel, en particulier celui des avocats. Pour les JDS, il importe de clarifier la manière de garantir que seules soient analysées des données utiles pour la procédure et qu’aucune donnée personnelle de tiers ne soit traitée. AsyLex demande que la collecte des données personnelles au moyen d’un logiciel débute au plus tôt 24 heures après l’information des intéressés et la signature de l’accusé de réception des supports, et que ces supports soient restitués à leur propriétaire au plus tard 24 heures après leur remise. Le TAF estime que la manière de procéder lorsque la personne renonce à être présente pendant la collecte des données au moyen d’un logiciel n’est pas clairement réglée.

3.5. Sauvegarde temporaire des données personnelles (art. 10e P-OA 3)

Cantons : Les cantons (à l’exception de VD) sont d’accord avec cette disposition. Le canton SH insiste sur la nécessité de ne faire qu’un usage restrictif de la sauvegarde temporaire et toujours dans le respect des dispositions en vigueur concernant la protection des données. L’analyse des données devrait avoir lieu immédiatement après leur collecte. De même, les données devraient être effacées sitôt leur utilisation terminée.

Partis : Le PSS demande de renoncer à la sauvegarde temporaire pour des raisons de proportionnalité et de sécurité des données. L’UDC n’a pas de remarque sur cette disposition. Autres milieux intéressés : Le TAF propose de préciser le libellé de l’al. 3 de sorte que les données personnelles collectées ne puissent faire l’objet d’aucun autre traitement jusqu’à leur analyse (proposition en allemand : «…dürfen diese nicht anderweitig bearbeitet werden»). Plusieurs participants soulignent en effet que la sauvegarde temporaire est déjà une forme de traitement et que cette opération relève par conséquent de la loi sur la protection des données, raison pour laquelle seules des données selon l’art. 10a P-OA 3 tout au plus doivent selon eux être sauvegardées temporairement (not. Société numérique, l’OSAR, Solinetz ZH, Sosf). En complément aux remarques de l’OSAR au sujet de l’art. 10d P-OA 3, la présence du représentant juridique est souhaitée. La durée de la sauvegarde temporaire doit en outre être limitée au strict minimum et l’effacement des données doit être immédiatement attestée et