Impressum

Éditeur

EQUAM Stiftung
Effingerstrasse 25
3008 Bern

031 302 86 87
office@equam.ch

Exceptions pour les avocats, les médecins et les responsables des affaires du personnel

Pour certaines professions, il existe des réglementations spéciales régissant la déclaration de fichiers. Dans les cas évoqués, ces exceptions se fondent sur l’art. 11a, al. 5, let. a, de la loi fédérale sur la protection des données (LPD), qui délie le maître du fichier de l’obligation de déclarer ce dernier s’il traite les données en vertu d’une obligation légale.

Une exception de cette nature concerne les affaires du personnel. Diverses lois dans le domaine du CO, du droit des assurances sociales et du droit fiscal obligent directement ou indirectement l’employeur à saisir des données concernant l’employé afin de les transmettre à des autorités en cas de nécessité ou de les utiliser par exemple pour établir un certificat de travail, ce qui implique le trai-tement d’un plus grand nombre de données, tels que le curriculum vitae, la formation de base et la formation continue ainsi que les performances et le comportement de l’employé. Ces obligations de traiter les données sont larges et justifient une dérogation à l’obligation de déclarer les fichiers prévue à l’art. 11 a, al. 5, let. a, LPD.

Il en va de même des dossiers médicaux ou des fichiers que les médecins doivent tenir en vertu de lois sanitaires cantonales.

Cette réglementation spéciale s’applique aussi aux avocats. Conformément à la loi fédérale sur la libre circulation des avocats, ces derniers sont tenus d’exercer leur profession avec soin et diligence. La tenue de dossiers corrects, complets et cohérents concernant chaque cas fait partie intégrante de cette obligation; en ce sens, ce traitement de données repose sur une obligation légale.

Il va de soi que cette exception ne s’applique pas à tous les fichiers. Si les personnes appartenant aux catégories de professions précitées tiennent des fichiers qui ne se fondent pas sur des obligations légales (p. ex. pour établir des profils de clients ou pour d’autres prestations), elles doivent les décla-rer au préposé conformément à l’art. 11a LPD.

 

 Déclaration des fichiers (art. 3 et 4; 16, 18 OLPD) 

1. Dans le secteur privé (art. 3 et 4) 

1.1 Contenu de la déclaration (art. 3) 

Les fichiers qui en vertu de l’article 11a, alinéa 3 LPD doivent être annoncés au préposé, le seront avant d’être opérationnels. Il s’agit des cas où une personne privée traite régulièrement des données sensibles ou des profils de personnalité ou communique régulièrement des données personnelles à des tiers qu’ils s’agissent de données sensibles, de profils de personnalité ou d’autres données per-sonnelles. 

La déclaration du fichier donnera des informations sur: 

• le nom et l’adresse du maître du fichier; 

• le nom et la dénomination complète du fichier; 

• la personne auprès de laquelle peut être exercé le droit d’accès; 

• le but du fichier; 

• les catégories de données personnelles traitées; 

• les catégories de destinataires des données; 

• les catégories de participants au fichier, c’est-à-dire les tiers qui sont en droit d’introduire des données dans le fichier ou d’y procéder à des mutations. 

Les maîtres de fichier doivent régulièrement mettre à jour les informations objets de la déclaration. 

1.2 Exceptions à l’obligation de déclarer (art. 4) 

L’article 11a, alinéa. 5 LPD introduit cependant toute une série d’exceptions à l’obligation d’annonce, notamment lorsque 

• les données sont traitées en vertu d’une obligation légale 

• le traitement est désigné par le Conseil fédéral comme n’étant pas susceptible de menacer les droits de la personne concernée 

• le maître du fichier utilise le fichier exclusivement pour la publication dans la partie rédaction-nelle d’un média à caractère périodique et ne communique pas les données à des tiers à l’insu des personnes concernées 

• les données sont traitées par un journaliste qui se sert du fichier comme un instrument de tra-vail personnel 

• le maître du fichier a désigné un conseiller à la protection des données indépendant chargé d’assurer l’application interne des dispositions relatives à la protection des données et de tenir un inventaire des fichiers 

• le maître du fichier s’est soumis à une procédure de certification au sens de l’article 11 LPD, a obtenu un label de qualité et a annoncé le résultat de la procédure de certification au préposé. 

L’article 4 concrétise ainsi l’article 11a, alinéa 5, lettre b LPD selon lequel le maître du fichier n’est pas tenu de déclarer son fichier si le traitement est désigné par le Conseil fédéral comme n’étant pas sus-ceptible de menacer les droits de la personne concernée. 

L’article 4 rappelle en premier lieu que les fichiers visés au nouvel art. 11a, alinéa 5, lettres a, c à f, LPD ne sont pas soumis à déclaration, puis énumère les exceptions suivantes: 2/3 

• la lettre a prévoit une exception pour les fichiers de fournisseurs ou de clients. Il s’agit par exemple de fichiers servant à la correspondance commerciale dans le cadre de l’exécution d’un contrat. Cette exception correspond à l’exception prévue à l’art. 18, alinéa 1, lettre b, OLPD pour les organes fédéraux : dans les deux cas, les fichiers de fournisseurs ou de clients ne doivent contenir ni des données sensibles ni des profils de la personnalité. 

• la lettre b vise les fichiers dont les données sont traitées uniquement à des fins ne se rap-portant pas aux personnes concernées, notamment dans le cadre de la recherche, de la plani-fication ou de la statistique. Cette exception se justifie par le fait que ce type de traitement, de par sa finalité, ne porte en principe pas atteinte aux droits de la personnalité. Une telle excep-tion est déjà prévue par le droit en vigueur en relation avec l’obligation de déclarer les com-munications transfrontières (art. 7, al. 1, OLPD). 

• la lettre c prévoit une exception pour les fichiers qui sont archivés et dont les données ne sont conservées qu’à des fins historiques ou scientifiques. Cette exception s’inspire de l’article 18, alinéa 2, lettre a, OLPD qui prévoit que les organes fédéraux ne sont pas tenus de déclarer les fichiers qui sont conservés aux Archives fédérales. 

• La lettre d concerne les fichiers contenant exclusivement des données qui ont été publiées ou qui ont été rendues accessibles au public par la personne concernée sans que cette dernière ne se soit formellement opposée au traitement. 

• La lettre e vise les fichiers de journalisation. En vertu de l’article 10 OLPD, le maître du fichier journalise les traitements automatisés des données sensibles ou des profils de la personnalité lorsque des mesures préventives ne peuvent pas garantir la protection des données. Il s’agit en particulier de permettre une vérification a posteriori de l’identité des personnes introduisant des données dans un système. Le fichier des données collectées à cette fin ne doit pas être déclaré au préposé. La mesure de journalisation sert en premier lieu à protéger la personne dont les données sont traitées dans le système en question. Le risque d’abus envers des per-sonnes qui travaillent avec le système et dont les données d’accès sont saisies est en compa-raison limité. 

• la lettre f prévoit une exception en faveur des pièces comptables à l’instar de l’article 18, ali-néa 1, lettre e OLPD applicable au secteur public. 

• l’exception de la lettre g vise les fichiers auxiliaires concernant la gestion du personnel du maître du fichier ne devront pas être déclarés, à la condition toutefois qu’ils ne contiennent ni des données sensibles ni des profils de la personnalité. Cette disposition correspond à l’exception prévue à l’article 18, alinéa. 1, lettre f OLPD. 

L’article 4, alinéa 2, OLPD prévoit que le maître du fichier est tenu de prendre les mesures néces-saires afin de pouvoir communiquer au préposé et aux personnes concernées qui en font la demande les informations énumérées à l’article 3, alinéa 1 OLPD. Cette obligation découle des articles 8 et 29, alinéa 2 LPD. 

2. Dans le secteur public (art. 16 et 18 OLPD) 

2.1 Déclaration 

Conformément à l’article 11a LPD, les organes fédéraux sont tenus de déclarer tous leurs fichiers avant qu’ils ne soient opérationnels. Cette obligation est énoncée à l’article 16 de l’ordonnance. L’an-nonce contiendra les mêmes informations que dans le secteur privé, avec en plus l’indication de la base légale. Les organes fédéraux sont tenus de mettre à jour ces informations. 

2.2 Exceptions à l’obligation de déclarer 

Avec la révision de la LPD et de l’OLPD, le système de la déclaration simplifiée de certaines catégo-ries de fichiers a été abandonné. Il en va de même des exceptions à la publication. Ces fichiers font désormais partie des exceptions à la déclaration. A l’instar de l’article 4 OLPD, l’article 18 énonce les 3/3 

fichiers de données personnelles dont le traitement n’est pas susceptible de menacer les droits de la personne concernée: 

l’article 18, alinéa 1, lettre a vise les fichiers usuels d’enregistrement de la correspondance. Par fichier usuel d’enregistrement de la correspondance, il faut entendre un fichier simple qui répertorie le cour-rier et contient notamment le nom et l’adresse du demandeur, la date d’entrée, le collaborateur res-ponsable de la demande, la réponse et la date de sortie (répertoire de correspondance). L’accès au fichier est en soi limité à un cercle restreint d’utilisateurs, en particulier les personnes responsables de l’enregistrement de la correspondance. Un fichier recensant les lettres des citoyens peut entrer dans cette catégorie. Par contre si le système permet différentes opérations qui dépassent le simple réper-toire de correspondance ou contient d’autres données et notamment des données sensibles ou des profils de la personnalité, provenant du traitement de la demande et impliquant des opérations plus complexes qui nécessitent la collecte et l’enregistrement dans le système de données provenant de tiers, d’expertises, d’éclaircissements, de procès-verbaux d’enquête ou d’audition, etc., nous ne som-mes plus en présence d’un simple fichier d’enregistrement de la correspondance, mais d’un système de gestion et de documentation. Les systèmes GEVER ne sont ainsi en principe pas des fichiers usuels d’enregistrement de la correspondance et doivent être annoncés. Il s’agit de systèmes com-plexes de traitement des données qui intègrent différentes fonctionnalités et qui peuvent contenir des données sensibles et des profils de la personnalité. Au sein d’un département ou d’un office, ces sys-tèmes peuvent être accessibles à différents services ou entités et offrir de nombreux accès qui ne sont pas uniquement réservés à un seul service ou un seul office. 

• L’article 18, alinéa 1, lettre b concerne les fichiers de fournisseurs ou de clients, dans la me-sure où ils ne contiennent pas de données sensibles ou de profils de la personnalité. 

• L’article 18, alinéa 1, lettre c vise les fichiers d’adresses qui servent uniquement à l’envoi de correspondance, dans la mesure où ils ne contiennent pas de données sensibles ou de profils de la personnalité (liste de commissions d’experts, par ex.; cela même si ces listes sont distri-buées à des tiers). 

• L’article 18, alinéa 1, lettres d et e concernent les listes qui servent au paiement des indemni-tés, et les pièces comptables. 

• L’article 18, alinéa 1, lettre f prévoit que les fichiers auxiliaires concernant la gestion du per-sonnel de la Confédération ne doivent pas être déclarés lorsqu’ils ne contiennent pas de don-nées sensibles ou de profils de la personnalité. 

• L’article 18, alinéa 1, lettre g vise les fichiers des bibliothèques (catalogues, listes de prêts et d’utilisateurs). 

• L’article 18, alinéa 2, lettre a concerne les fichiers qui sont déposés aux Archives fédérales. 

• L’article 18, alinéa 2, lettre b vise les fichiers qui sont rendus accessibles au public sous forme d’annuaires. 

• L’article 18, alinéa 2, lettre c introduit une exception pour les fichiers dont les données sont traitées uniquement à des fins ne se rapportant pas aux personnes concernées, notamment dans le cadre de la statistique, de la recherche ou de la planification. 

• L’article 18, alinéa 3 prévoit que l’organe fédéral responsable prend les mesures nécessaires afin de pouvoir communiquer au préposé ou aux personnes concernées qui en font la de-mande les informations y relatives (art. 16, al. 1, OLPD). Cette obligation découle des articles 8 et 27 LPD.