Vous trouvez ci-dessous une sélection des articles du 15ème rapport d'activités du PFPDT. Le texte intégral peut être téléchargé sous forme PDF depuis notre site ou être commandé auprès de l'office fédéral des constructions et de la logistique OFCL. Vous trouvez les informations à ce sujet à droite sur cette page.
Avant-propos
Dans notre dernier rapport d'activités, je comparais le rôle du Préposé à la protection des données à celui de la figure tragique de la mythologie grecque qu'est Sisyphe, condamné à pousser éternellement le même rocher au sommet d'une montagne: à peine pensons-nous avoir résolu un problème touchant à la protection des données qu'un nouveau surgit! Bien que cette métaphore soit toujours d’actualité au fil des années, le rapport annuel est l'occasion de jeter un coup d'oeil rétrospectif et d'apprécier les résultats obtenus. En bref, nous pouvons dire qu'une approche pragmatique de la protection des données est porteuse de succès.
Émission des directives du préposé pour la certification d'organisations
Selon l’Ordonnance sur les certifications en matière de protection des données (OCPD), le préposé est chargé d'édicter des directives sur les exigences minimales qu'un système de gestion de protection des données doit remplir. Pour cela, il tient compte des normes internationales relatives aux systèmes de gestion, en particulier d’ISO/CEI 27001:2005. Ces directives incorporent l’essentiel de la norme 27001 en se focalisant clairement sur la protection des données, tout en s'appuyant sur un guide d’implémentation annexe. Cette brochure annexe, structurée selon neuf principes généraux de la LPD et comprenant actuellement une vingtaine de mesures concrètes, est le pendant pour la protection des données de la norme 27002 (code de pratique pour la sécurité de l'information), associée à la norme 27001.
Introduction de données biométriques dans les documents d’identité
L’utilisation restreinte et réglementée de données biométriques pour permettre une meilleure authentification des personnes dans le cadre des contrôles d’identité et pour renforcer la sécurité des documents d’identité n’est pas contraire aux principes de protection des données. Par contre, l’utilisation de ces mêmes données à des fins d’identification est plus problématique et soulève de notre part des réserves.
Recensement 2010
Dans le cadre des travaux préparatoires en vue du recensement fédéral de la population en 2010, nous avons examiné les aspects de protection des données à prendre en compte dans le domaine de la statistique, de l’harmonisation des registres et du recensement. Nous avons collaboré avec l’Office fédéral de la statistique (OFS) et pris position sur les projets de loi sur le recensement fédéral et de l’ordonnance sur l’harmonisation des registres.
Engagement d’appareils de surveillance à la frontière suisse
L’ordonnance régissant l’utilisation d’appareils de prises de vue, de relevé et d’autres appareils de surveillance par l’Administration fédérale des douanes, entrée en vigueur le 1er mai 2007, crée des dispositions d’exécution détaillées pour l’utilisation d’appareils de surveillance à la frontière suisse. Elle indique les appareils autorisés ainsi que leurs domaines d’utilisation et règle les responsabilités ainsi que la durée de conservation des relevés.
La pertinence des extraits du registre des poursuites
La réputation de solvabilité revêt une importance capitale au niveau de la participation à la vie économique. Donnant des renseignements à ce sujet, l'extrait du registre des poursuites est un document extrêmement délicat. Mais certains ne comprennent parfois pas que quelques inscriptions reportées dans l'extrait n'ont rien à voir avec la solvabilité. La tentative d’une initiative parlementaire d'éliminer les dangers d'interprétation erronée a échoué devant la multitude des points de vue sur la manière dont cela devrait avoir lieu.
Bourses d’échange sur Internet et protection des données
Nous avons examiné le traitement des données effectué par entreprise suisse active dans le domaine de la lutte contre les violations du droit d’auteur et constaté que la collecte des données effectuée dans les réseaux d’échange pair à pair ne respectait pas les principes fondamentaux de la LPD. Ce faisant, nous ne remettons nullement en cause la légitimité des poursuites pénales contre les violations des droits d’auteur. Nous avons cependant constaté qu'en pratique, les détenteurs du droit d’auteur abusent de leur droit d’accès aux dossiers dans le cadre d’une procédure pénale afin d’obtenir les identités des détenteurs d’accès Internet, contournant ainsi le secret des télécommunications dans le domaine du droit privé. Nous estimons qu'une atteinte au secret des télécommunications dans le domaine civil nécessite une base légale expresse. Nous avons recommandé à l’entreprise concernée de cesser le traitement des données.
Protection des données dans le cadre de l'évaluation Schengen
La mise en œuvre de l’Accord d’Association à Schengen est évaluée par l’Union européenne avant que le Système d’Information Schengen (SIS) ne soit mis en fonction en Suisse. Lors de la visite d’évaluation auprès des autorités de protection des données suisses, ce sont les compétences du préposé fédéral et de plusieurs autorités cantonales de protection des données qui sont inspectées.
La lutte contre le hooliganisme
Dans le domaine de la lutte contre le hooliganisme, plusieurs travaux législatifs ont été poursuivis au cours de l’année écoulée. Dans ce contexte, nous avons été invités à prendre position sur divers projets qui se trouvaient à des stades très divers du processus législatif, du projet d’article constitutionnel aux directives régissant les traitements de données effectués par des personnes privées.
Loi fédérale sur les systèmes d’information de police de la Confédération
Le Conseil national a adopté le projet de loi fédérale sur les systèmes d’information de police de la Confédération. Les propositions que nous avons émises sur de nombreux points du projet n’ont toutefois pas été retenues. En ce qui concerne la question particulière du droit d’accès dit «indirect», la réglementation adoptée a été proposée par le Département fédéral de justice et police et l’Office fédéral de la police. Cette réglementation constitue une amélioration par rapport à la situation actuelle qui n’est pas conforme à l’article 13 de la Constitution fédérale et aux articles 8 et 13 de la Convention européenne des droits de l’homme qui garantissent la protection de la sphère privée. Cependant, nous ne sommes pas satisfaits que l’information de la personne concernée soit différée automatiquement de trois ans lorsque celle-ci n’est pas enregistrée.
Création de profils d’ADN dans le cadre de regroupements familiaux
L’introduction dans la loi française sur l’immigration de tests d’ADN pour les membres d’une famille qui rejoignent leurs parents a provoqué des discussions très animées. En Suisse, cette pratique existe déjà: dans des cas exceptionnels, la délivrance d’une autorisation peut être subordonnée à une analyse génétique, pour autant que la personne concernée donne son accord par écrit. A notre avis, cette pratique doit cependant être appliquée de manière extrêmement restrictive.
La transmission d’échantillons biologiques vers les États-Unis dans le cadre de la recherche médical
Un échantillon biologique peut être exporté vers les États-Unis à condition que la personne concernée ait préalablement donné son consentement. Si ce consentement fait défaut, l’échantillon ne peut être transmis que si l’on a des garanties que le pays destinataire dispose d’une protection des données adéquate.
Echange international de données dans la lutte contre le dopage
L'Agence mondiale antidopage (AMA) a pour tâche de coordonner et de superviser les mesures de lutte contre le dopage. Des données étant dans ce contexte aussi collectées en Suisse, nous avons analysé les activités de l'Agence qui pourraient être concernées par la loi suisse sur la protection des données (LPD). Nous sommes arrivés à la conclusion que la soumission de l'AMA à la LPD ne peut, dans des domaines partiels, être exclue. Dans le cadre de la révision de la loi sur l'encouragement du sport, nous avons donc suggéré la création d'une base légale permettant de simplifier la coopération internationale dans la lutte antidopage.
Révision de la loi fédérale encourageant la gymnastique et les sports
Actuellement, le transfert international de données dans le but de lutter contre le dopage ainsi que l'organisation de contrôles antidopage ne sont pas réglés par le droit suisse, ce qui se traduit souvent pour les acteurs impliqués par une insécurité du droit. Du fait de l'absence de base juridique, les différents organes de lutte antidopage ne peuvent aujourd'hui procéder au niveau international à un échange de données que si une protection adéquate des données est garantie par contrat ou par la loi. D'autre part, d’un point de vue strictement juridique, les contrôles antidopage en Suisse reposent sur un accord volontaire du sportif concerné, qu’il donne sous forme de déclaration. Cette pratique est contestée car un refus mène à l'exclusion de la manifestation et que dans ces conditions il ne peut être question de consentement. Afin d'aborder ces deux problématiques, nous avons déposé deux propositions d'adaptation législative dans le cadre de la révision de la loi sur l'encouragement du sport.
La mise en œuvre de la cinquième révision de l'AI
La loi révisée sur l'assurance-invalidité (LAI) et l'ordonnance qui s'y rapporte (RAI) sont entrées en vigueur le 1er janvier 2008. Le modèle de la détection précoce des cas d'invalidité en est l'une des principales innovations. La réglementation des mesures de détection précoce nécessite, sous l'angle de la protection des données, un certain nombre d'améliorations.
Examen des faits auprès d’un service de médecin-conseil dans le domaine de l’assurance-maladie obligatoire
Au cours de l’année 2006, nous avons procédé à un examen des faits auprès du service de médecin-conseil de la société d’assurance-maladie CSS et y avons constaté des lacunes. Ceci nous a incités au printemps 2007 à adresser six recommandations à la CSS.
Enquête sur l’organisation en matière de protection des données du Service de médecin-conseil des assureurs-maladie
En collaboration avec l’OFSP, nous procédons depuis décembre 2007 à une enquête sur l’organisation en matière de protection des données auprès de tous les assureurs-maladie. Cette action a notamment pour but de soutenir les organes de surveillance pour qu’ils élaborent des critères pour une structure d’organisation qui soit conforme aux exigences de la protection des données.
Surveillance vidéo à la poste
La Poste est confrontée au phénomène des délits commis par des employés de l’entreprise. Un système de surveillance par vidéo devrait lui permettre de lutter contre ces pratiques. Grâce à la mise en œuvre de techniques modernes de cryptage et à un décryptage restrictif des enregistrements, le problème de l'interdiction de la surveillance du comportement sur le lieu de travail est pour une grande partie résolu.
Recommandation concernant les tests de dépistage de la consommation de drogues et d'alcool effectués par les CFF
Au printemps 2007, la presse a fait état des tests de dépistage de la consommation de drogues effectués par les CFF. Il s'agissait, pour les CFF, de contrôler les employés de moins de 40 ans exerçant des tâches liées à la sécurité pour vérifier s'ils prenaient des drogues illégales. En cas de résultat positif, les personnes concernées devaient s'engager par écrit à ne plus consommer de cannabis, même pendant leur temps libre. Nous avons notamment recommandé aux CFF de fixer des valeurs limites pour les tests de dépistage de la consommation d'alcool et de drogues au-dessous desquelles aucun traitement de données ne doit être effectué.
Révision de la loi sur le personnel de la Confédération
La loi sur le personnel de la Confédération fait actuellement l’objet d’une révision complète. Cette révision permettra notamment de définir dans la loi les nouvelles tâches du système d'information sur le personnel de la Confédération (BV PLUS). Parmi ces tâches figurent notamment l'évaluation des collaborateurs ainsi que la saisie du temps de travail. La procédure d'appel (E-Gate) et les nouveaux services bénéficiant d'une autorisation d'accès doivent également être prévus dans la nouvelle loi.
Révision du droit de la société anonyme; usage des inscriptions au registre du commerce
Le nouveau droit de la société anonyme simplifie la communication entre la société et ses actionnaires grâce à l'utilisation des médias électroniques. Dans ce cadre, la transparence et l'actualité du registre du commerce est en outre améliorée par la fixation de délais impératifs pour l'inscription au journal. Nous sommes toutefois d'avis qu'il faut aussi établir des délais de blocage de l'accès public aux inscriptions au registre du commerce lorsque celles-ci ont perdu de leur pertinence dans les relations d'affaires. Notamment en cas de radiation (par ex. après une faillite), l'intérêt personnel à continuer à vivre sans se voir attacher des étiquettes définitives prime au bout d'un certain temps (droit à l'oubli). Pour cette raison, nous estimons inconcevable que toutes les inscriptions au registre du commerce soient accessibles librement et «ad eternam».
Publication privée de données extraites des registres du commerce
Quiconque entend participer à la vie économique en tant qu'entreprise individuelle, société de personnes ou personne morale doit être inscrit au registre du commerce. Il lui faut alors indiquer le nom complet des organes représentatifs. Ces données sont publiées dans leur totalité sur Internet, d'où elles sont reprises intégralement par des sociétés privées de renseignements commerciaux. Ces sociétés ajoutent d'autres informations à ces données, en modifient la structure et publient le résultat de leur travail également sur Internet. Cela n'est pas seulement problématique parce qu'à un moment donné, ces renseignements ne sont plus actuels. Il ne faut pas non plus que les agences de renseignements économiques aillent au-delà du traitement des données effectué par un organisme étatique.
Le traitement des données sur la solvabilité en regard de la loi sur la protection des données
Les données sur la solvabilité sont toutes les données personnelles qui fournissent des informations sur la capacité d'une personne à respecter ses engagements financiers. Elles sont traitées par de nombreux acteurs. Parmi ceux-ci figurent essentiellement les créanciers dont les factures n'ont pas été payées (ou l'ont été avec retard), les sociétés de recouvrement des créances, ainsi que les sociétés de renseignements économiques qui cherchent à prévenir le risque de défaillance de crédit grâce à des banques de données centrales. On constate dans la pratique que des incertitudes juridiques accompagnent toutes ces opérations de traitement de données. Dans le but d'améliorer la sécurité du droit, nous avons entamé un dialogue constructif avec les différents prestataires traitant les données de solvabilité.
Protection des données dans le trafic international des paiements (SWIFT)
Selon un article du «New York Times» daté du 23 juin 2006, la Society for Worldwide Interbank Financial Telecommunication (SWIFT) a permis aux Etats-Unis d'accéder aux données rassemblées dans le centre opérationnel sis sur territoire américain, cela dans le cadre de la lutte contre le terrorisme. Nous avons abordé les problèmes de protection des données qui se sont posés dans ce contexte avec l'appui du Conseil fédéral et des banques suisses: dans le cadre d'une solution politique avec les Etats-Unis, des garanties de sécurité ont été convenues et la clientèle des banques a été activement informée de la possible transmission de données aux autorités américaines. La SWIFT a en outre annoncé qu'à l'avenir elle ne traiterait plus aux Etats-Unis que les données des transactions concernant le trafic des paiements transatlantique. Afin de pouvoir concrétiser cette solution du point de vue technique, la SWIFT a décidé de créer en Suisse un troisième centre opérationnel.
Communication de données du trafic international des paiements à des gouvernements étrangers, dans la perspective de l'application de sanctions
Dans le cadre de leurs activités internationales, les instituts suisses de crédit peuvent avoir besoin de prouver à des Etats étrangers (notamment les Etats-Unis) qu'elles respectent les sanctions requises par ces derniers. Faute de quoi l'accès commercial à l'Etat demandeur pourrait, selon les cas, être entravé. Dans ce contexte, un institut suisse de crédit a envisagé, dans le cadre du trafic international des paiements dans lequel il officie au titre de banque de transfert, de communiquer volontairement des données de transfert aux Etats-Unis. Après avoir examiné les faits et la situation juridique, nous avons conclu que pour prouver le respect des sanctions, seule une transmission volontaire de données de transferts anonymisées était autorisée.
Premières expériences avec le principe de la transparence
Le principe de la transparence est en train de s’établir au sein de l’administration fédérale. L’année passée, les offices fédéraux ont, pour deux tiers des demandes reçues, accordé un accès complet ou au moins partiel aux documents. En ce qui concerne les demandes en médiation, nous avons dans presque tous les cas réussi à obtenir un résultat plus favorable pour le requérant. Ce sont surtout les journalistes qui recourent aux possibilités de la loi sur la transparence.
WebDatareg: le nouveau programme d'annonce et de consultation en ligne des fichiers
Conformément au nouvel article 11a de la LPD révisée, le préposé tient un registre des fichiers accessible en ligne. Appuyé par la Chancellerie fédérale, nous avons tout d'abord défini puis réceptionné un programme trilingue pour la gestion en ligne des annonces de fichier par les organes fédéraux et les personnes privées. Le temps investi pour la saisie, la mise à jour et la recherche s'en trouvera fortement réduit pour tous les acteurs concernés. Fin 2007 et début 2008, nous avons mis sur pied plusieurs cours de formation à l’attention des organes fédéraux, afin que ces derniers puissent au besoin mettre à jour leurs annonces existantes avant la mise en ligne du registre sur Internet, prévue d’ici à l’été 2008. On peut noter que les entreprises disposeront alors également d'une possibilité d'annonce en ligne de leurs fichiers.
Informations complémentaires
Documents
Publications
Commande
Le rapport annuel peut être commandé à l'OFCL, Vente de publications, 3003 Berne.
Art. no. 410.015