C2: Définitions et acteurs (LPD 1-4)

Question 1

Qui peut être personne concernée a. s. d. la LPD?

Answer 1

N. b. personnes physiques; mais aussi personnes morales (LPD 2 I; 3 let. b)

CAVE: personne morale abrogée dans P-LPD 2 I
–> Cette solution a aussi pour avantage de ne plus soumettre la communication à l’étranger de don- nées concernant des personnes morales à la condition qu’un niveau de protection adéquat soit garanti dans l’Etat de destination (art. 13 P-LPD), ce qui devrait favoriser les flux transfrontières

Question 2

Est-ce que les personne mortes sont protégées par la LPD?

Answer 2

En principe non (personnalité finit avec la mort, CC 31 I)

MAIS: Il y a des dispositions spéciales qui s’appliquent, à titre exemplaire OLPD 1 VII

Question 3

Quelles sont des dispositions qui s’appliquent qu’aux personnes physiques?

Answer 3

• Données sur la santé;
• ou sur la race;
• Profils de personnalité
• Exception de LPD 2 II a

Question 4

Qui peut être auteur du traitement a. s. d. la LPD?

Answer 4

LPD 2 I let. a et b:

• personne privée; ou
• organe fédéral

Question 5

Quel est le critère déterminant pour que la LPD s’applique en vertu de son art. 2 I let. a?

Answer 5

Personne privée (physique ou morale) DANS LE CADRE D’UNE RELATION DE DROIT PRIVE
–> cf. n. b. critère de la subordination

–> qui exerce une tâche pour la Confédération = organe fédéral (LPD 3 let. h)

CAVE: qui exerce une tâche en vertu du droit cantonal sort du champ d’application de la LPD (mais entre dans le champ d’application du droit cantonal)

Question 6

Quel est le champ d’application matériel de la LPD?

Answer 6

Art. 2 I moins les exceptions à l’al. II

Question 7

Est-ce que le traitement automatisé et le traitement manuel sont visés?

Answer 7

Oui, LPD 3 let. e (“traitement” indépendant du moyen utilisé)

= neutralité technologique grâce à l’application vaste/pas de délimitation

–> notion ne change pas dans nLPD

Question 8

Quel est l’objectif de l’exception de LPD 2 II let. a?

Answer 8

Ne pas contraindre un particulier à révéler contenu de son agenda ou de sa correspondance privée par le biais de l’exercice du droit d’accès (LPD 8)

–> correspond un peu à la RGPD

Question 9

Qui est compris dans “l’usage exclusivement personnelle” (LPD 2 II let. a)?

Answer 9

La personne même, sa famille ou ses proches

–> peut s’appliquer aussi dans un cadre professionnel ou au sein d’une personne morale, mais l’individu communique p. ex. à son collègue dans un cadre qui n’est pas professionnel

= même définition pour ECO 3, la communication à des “tiers”

Question 10

A côté de la let. a, quels sont les autres exceptions de l’application de la LPD prévus à son art. 2 al. 2?

Answer 10

Let. b = délibérations parlementaires

Let. c = procédures pendantes (EXCEPTION: procédure admin de 1ère instance)

Let. d = registres publics relatifs aux rapports juridiques de droit privé

Question 11

Qu’est-ce qui est une “donnée personnelle” (LPD 3 let. a)? Quels critères n’importent pas?

Answer 11

• notion large: hormis données purement matérielles (p. ex. formule chimique), presque tout
• -> en droit privé, il n’existe pas de données libres dont on pourrait disposer sans respecter les règles de la LPD (y c. données de base/Stammdaten)
• Données objectives ou subjectives

Critères qui n’importent pas pour la définition:

• Degré de confidentialité
• Exactitude
• Forme (alphabétique, numérique, photo, son, odeur, etc.)
• Type de support (papier, USB, CD, etc.)

Question 12

Quand est-ce qu’une personne est “identifiée ou identifiable” (LPD 3 let. a in fine)?

Answer 12

• Soit directement identifiée par la donnée
• Soit il est possible d’identifier la personne indirectement avec les moyens technologiques disponibles, par une corrélation indirecte d’informations tirées des circonstances ou du contexte (“identifiable”)

Question 13

Quels trois mécanismes existent pour rendre des données ne pas identifiables?

Answer 13

1) Données intégralement anonymisées
= impossible de rattacher des données à une personne déterminée, y c. pour l’auteur du traitement lui-même
= données ne plus soumis à la LPD

2) Données anonymisées de facto
= toujours apte à attribuer à une personne déterminée, mais l’identification nécessite des moyens tels que, selon le cours ordinaire des choses, aucun intéressé ne les mettra en œuvre
–> théorie relative: se détermine selon circonstances concrètes (informations complémentaires à disposition du détenteur de la donnée; efforts requis pour l’identification (technologique, financier, en personnel); l’intérêt propre de la personne qui pourrait tenter d’identifier; durée de la conservation)
= donnée ne plus soumis à la LPD

3) Données pseudonymisées
= caractéristiques identifiantes remplacées par un code (le pseudonyme)
= identifiable par le détenteur du code/clef (dans des situations déterminées) ou celui qui sait l’acquérir (de manière illicite)
= donnée tjrs soumis à la LPD

Question 14

Est-ce que l’adresse E-Mail et l’adresse IP sont des données protégées par la LPD?

Answer 14

• E-Mail: Oui, CFPDT: Dans la mesure où l’individu utilise un identifiant pour entrer en contact avec son entourage, et que cet identifiant fait le lien avec sa personne, celle-ci est identifiable a. s. d. la LPD (de même pour les adresses fantaisiste - p. ex. pornstar@gmx.ch - que pour les adresses réelles - michael.marti@unil.ch)
• Adresse IP: Oui selon CFPDT
• -> MAIS: oui slmnt pour adresses fixes et non pas pour les adresses dynamiques (théorie relative) selon MEIER

Question 15

Quand est-ce que les personnes morales peuvent être considérées comme personne concernée (LPD 3 let. b)?

Answer 15

Pour autant qu’ils possèdent des attributs de la personnalité (acquérir des droits et s’engager, légitimation active et passive)
–> société en nom collective; société en commandite; société en commandite de placements collectifs; PPE; trusts

CAVE: nLPD ne les inclut plus !

Question 16

Que sont des “données sensibles” et pourquoi sont-elles considérées “sensibles”?

Answer 16

Contenu: LPD 3 let. c

CAVE: nLPD 3 let. c a 2 types de données nouveaux:

ch. 3: données génétiques (ADN)
ch. 4: données biométriques identifiant un individu de façon unique (p. ex. empreint digitale, image faciale ou de la voix, etc.; mais ne pas des simples photographies)

Sensibles, car ils sont susceptibles par leur nature de porter atteinte aux libertés fondamentales ou à la vie privée (consid. 33 Directive 95/46)

Question 17

A quoi faut-il penser quant à la définition de données “sensibles”?

Answer 17

• Qualification abstraite (ou formelle)
• -> même si le potentiel d’atteinte à la personnalité en cas de traitement illicite n’est que léger, que la personne concernée n’y voit pas de risque partiuclier ou encore qu’elle a elle-même rendu l’information publique: tout cela ne change rien à la qualification
• L’énumération est exhaustive et statique
• -> même si d’autres données seules (p. ex. fortune) ou dans un contexte particulier (p. ex. nom sur liste de mauvais payeurs) sont aptes à porter une atteinte aussi grande voire une atteinte plus grandes, ce sont quand-même des données “ordinaires”

Question 18

En pratique, y a-t-il encore une autre catégorie que les données ordinaires et sensibles?

Answer 18

Oui, données “délicates”
= catégorie intermédiaire entre ordinaire et sensible
= un potentiel important d’atteinte à la personnalité, mais pas énuméré à LPD 3 let. c
–> conséquence application des principes généraux avec plus de rigueur (mais pas d’application des règles spécifiques pour les données sensibles)

Question 19

Quelles sont les conséquences s’il s’agit de données sensibles qui sont traitées?

Answer 19

• Consentement doit être explicite (LPD 4 V in fine)
• Maître du fichier a en principe (sous réserve de LPD 14 IV) une obligation active d’information
• Personnes privées doivent déclarer leurs fichiers au PFPT, s’ils traitent régulièrement des données sensibles (LPD 11a III let. a)
• -> sous réserve des exceptions de LPD 11a V
• -> précisé par OLPD 4
• Les données sensibles peuvent être communiquées à des tiers qu’avec motif justificatif (LPD 12 II let. c)
• L’intérêt prépondérant privé de l’auteur du traitement n’est pris en considération lorsque les données personnelles sont traitées dans le but d’évaluer le crédit d’une personnes (agence de renseignements économiques) que pour autant que ces données ne soient pas sensibles (LPD 13 II let. c)
• Ev. obligation de journaliser le traitement, étant donnée qu’il est automatisé (OLPD 10). En sus il faut un règlement de traitement, si le fichier est soumis à déclaration selon LPD 11a

Question 20

Comment se définit le profil de la personnalité? Et comment ça sera dans la nLPD?

Answer 20

LPD 3 let. d: “un assemblage de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique.
= Image relativement complète d’une personne, ou
image partielle, mais qui porte sur ses caractéristiques essentielles, d’un point de vue qualitatif et quantitatif
–> l’empêchant par là de donner
à l’extérieur l’image qu’elle souhaite laisser d’elle-même

–> se détermine tjrs selon les circonstances concrètes

Dans la nLPD = “profilage”
= traitement automatisé (≠ forcéement algorithmes)
+ finalité particulière
≠ simple accumulation de données

Question 21

Quels facteurs sont pris en compte pour déterminer s’il s’agit d’un profil de la personnalité ou non? Quels facteurs n’entrent pas en compte?

Answer 21

• Quantité d’informations
• Type et contenu des informations assemblées (n. b. caractère public, privé ou intime)
• Durée de la collecte (longtemps ou non)

Pas important:

• Exactitude des données
• Données importantes ou banales en soi, pour autant qu’ils permettent de créer un profil que la personne veut pas révéler elle-même
• Moyens de collection (manuel ou informatique; collectionné par l’auteur ou recueilli auprès d’un tiers) –> CAVE: changera dans nLPD

Question 22

Ex. de profils?

Answer 22

• Carte client;
• profil du client produit par le gestionnaire de fortune;
• profil professionnel élaboré pendant procédure de recrutement;
• prestations et comportement à la place de travail;
• expertise psychologique;
• test de personnalité;
• dossier financier complet;
• blog avec publication des préférences, enveies, moral et occupations du moment;
  profil client en vue d’un marketing ciblé;
• profil de navigation sur Internet

Question 23

Est-ce que le profil de groupe (profil abstrait) tombe sous cette notion?

Answer 23

Non, en principe même pas de donnée personnelle, faute d’identificabilité individuelle.

Question 24

Quelles sont les conséquences si les données sont considérées un profil de la personnalité?

Answer 24

Les mêmes que s’il s’agit de données sensibles.

Question 25

Comment peut-on décrire la définition de LPD 3 let. e?

Answer 25

• Exemplative (“notamment”)
• Très large & interprétation doit être large aussi
• Technologiquement neutre

Question 26

Doit un humain prendre connaissance des données pour qu’on puisse parler d’un traitement?

Answer 26

Non; traitement peut-être complètement automatisé (p. ex. vérification systématique des mail entrants sur spam)

Question 27

Est-ce que l’anonymisation est aussi un traitement a. s. d. LPD 3 let. e?

Answer 27

Oui (bien qu’il s’agisse de soustraire les données au champ d’application de la LPD)

Question 28

Où est défini la communication? Doit-elle être active?

Answer 28

LPD 3 let. f = toute diffusion active et tout accès passif (peu importe les modalités)

Question 29

A qui est-ce qu’on communique? Comment on définit le destinataire de manière générale-abstraite? Faute de destinataire, quelle est la conséquence?

Answer 29

Communication doit être destinée à un TIERS
= tout personne (physique ou morale) différente du détenteur des données personnelles, mais aussi toute personne, tout service ou tout département qui est structurellement et/ou économiquement distinct du détenteur des données

Si l’on ne communique pas à un tiers –> peut-être pas d’application LPD en vertu de l’art. 2 II let. a (traitement exlusivement personnel)

Question 30

Quels sont les types de communication?

Answer 30

• Interne dans un groupe d’entreprise (avec personnalité juridique ou non) ou au sein de la même entreprise (entre deux services p. ex.)
• Communication volontaire ou forcée (important que pour les motifs justificatifs)
• Pas de communication si le tiers avait déjà connaissance des données auparavant; mais oui, si on lui donne un accès plus large que ce qu’il avait avant
• Transmettre (weitergeben), diffuser ou publier (veröffentlichen)

Question 31

Est-ce que publier qqc en ligne (= accessible au public), constitue cela une communication transfrontière?

Answer 31

OLPD 5: Non.

Mais dès lors ce n’est plus une communication au public, il s’agit d’une communication transfrontière et LPD 6 est applicable (p. ex. mise en ligne sur un site Intranet consultable à partir de plusieurs pays, un accès personnalisé ouvert à certains destinataires seulement qui sont localisés à l’étranger, etc.)

Question 32

Comment se définit le maître du fichier?

Answer 32

LPD 3 let. i: la personne physique ou morale ou l’organe fédérale qui décide

• la création
• le but
• détermine les moyens du traitement (automatisé ou non, cas échéant le logiciel)
• catégories de données
• …

–> CONTROLE DE FAIT DU FICHIER !
(Même si les buts, moyens, etc. sont fixés de manière très générale)

Question 33

Est-ce que le maître du fichier est toujours celui inscrit dans le registre (cas échéant)?

Answer 33

Non; les conditions matérielles sont décisives.

Question 34

Est-ce qu’il y a tjrs 1 maître du fichier?

Answer 34

Non, le pouvoir de contrôle peut être partagé avec d’autres (pouvoir partiel vs pouvoir exclusif)

Question 35

Quelles sont les conséquences si qqn est considéré maître du fichier?

Answer 35

= le responsable primaire a certaines obligations:

• Cas échéant déclarer le fichier (LPD 11a III)
• Informer PFPDT sur règles de communication transfrontière (LPD 6 II let. a et g cum OLPD 6)
• Devoir d’information (LPD 14)
• Exercice du droit d’accès se fait auprès du maître du fichier (LPD 8
• Obligations découlant du principe de sécurité (LPD 7 cum OLPD 9; OLPD 10 s)
• Maître qui communique des données doit en assurer l’actualité et la fiabilité (OLPD 12)

Question 36

Où et comment est défini le sous-traitant?

Answer 36

• La LPD n’a pas de définition ou notion correspondant; mais le vise à LPD 10a (note marginale “traitement de données par un tiers”)
• nLPD 5 let. k; LPrD-VD 4 ch. 9; RGPD 28: Personne physique ou morale “qui traite des données personnelles pour le compte du responsable de traitement”
• nLPD 9 demande contrat (oral ou écrit)
• RGPD 28 demande en plus un contrat écrit avec des nombreux éléments obligatoires

Question 37

Est-ce que tout le monde qui a accès aux données est automatiquement un sous-traitant?

Answer 37

Non, qui a accès aux données que de manière accessoire ≠ sous-traitant

P. ex. bureau de nettoyage nettoie le bureau/documents sur le table –> on demande un accord de confidentialité

Question 38

Apart du responsable du traitement et le sous-traitant, quelle autre notion y a-t-il dans le droit européen?

Answer 38

“Traitement conjoint”
= deux entités traitent des données avec une certaine connexité, même si ils les traitent dans leurs propres intérêts
–> p. ex. qui a une page sur FB remplit les critères pour traitement conjoint FB/responsable de la page

Si j’ai encore le temps: cf. cours 3, ex. sur une capture-écran

Question 39

Quelles notions sont nouvellement définies à la nLPD?

Answer 39

nLPD 5 let. f: profilage

nLPD 5 let. g: profilage à risque élevé

nLPD 5 let. h: violation de la sécurité des données
= “toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données”

nLPD 5 let. k: sous-traitant