Dans le cadre du recensement de la population, nous avons contrôlé un institut privé qui traite des données sur mandat de l’Office fédéral de la statistique (OFS). Nous avons constaté d’une manière générale que les parties impliquées s’engagent à appliquer les prescriptions de protection des données. Ce contrôle n’est pas encore terminé.
L'OFS délègue le plus souvent la collecte des données nécessaires à ses enquêtes à des prestataires externes. Cette délégation à des tiers présente des risques particuliers du point de vue de la protection des données. C'est pourquoi nous avons procédé, dans le cadre du recensement de la population, à un contrôle des traitements de données qu'une entreprise privée d'étude de marché a effectués sur mandat de l'OFS lors de l'enquête Omnibus 2010. Les statistiques Omnibus font partie du recensement de la population et fournissent des informations complémentaires sur des sujets d'actualité. Dans le cas d'espèce, l'enquête auprès de la population suisse a porté sur les technologies de l'information et des communications et sur l'utilisation d'Internet. L'institut en question effectue régulièrement des enquêtes pour le compte de l'OFS. Le but de notre contrôle était d'identifier d'éventuels potentiels d'optimisation.
Nous avons, sur la base des documents reçus, vérifié les diverses étapes du traitement de données de leur collecte jusqu'à leur destruction. Nous avons porté une attention particulière d'une part au respect des exigences en matière de sécurité des données et à la séparation des diverses enquêtes, d'autre part aux mesures d'assurance qualité. Nous nous sommes également rendus sur place et avons demandé que l'on nous présente certains traitements de données.
Nous avons constaté que les parties impliquées sont sensibilisées aux aspects de la protection des données et qu'elles s'engagent à respecter les prescriptions légales applicables. Parmi les propositions d'optimisation que nous avons faites, quelques-unes ont été acceptées et appliquées par les parties, par exemple celles concernant la séparation des diverses enquêtes et le chiffrement symétrique des sauvegardes.
Aucune entente n'a encore pu être trouvée pour deux des points que nous avons critiqués. D'une part, nous avons constaté que l'OFS pouvait encore améliorer l'information préalable des personnes concernées. Jusqu'à ce jour, les personnes interrogées n'ont pas été informées explicitement de l'existence d'une obligation de donner des renseignements. Un essai effectué par l'OFS, dans lequel les personnes interrogées avaient été informées du caractère facultatif de la participation avait donné un taux de réponse insatisfaisant. Pour l'enquête Omnibus 2011, l'OFS testera diverses manières d'informer. Ainsi, notre contrôle ne pourra être clos qu'après analyse de ces tests, soit vraisemblablement vers la fin de l'été 2011.
D'autre part, nous avons critiqué le contrôle qualité effectué par l'institut privé. Pour la majeure partie des enquêtes, l'institut emploie des personnes à temps partiel et non à plein temps. Celles-ci doivent être soigneusement formées car les questions posées lors de ces enquêtes sont exigeantes. Une des mesures d'assurance qualité prises par l'institut consiste à surveiller ses collaborateurs; ceux-ci sont informés d'une telle surveillance et donnent leur consentement au moment de leur engagement. Au cours des interviews, les personnes chargées de la surveillance peuvent à tout moment suivre discrètement la conversation téléphonique et voir également le formulaire de saisie sur l'ordinateur du collaborateur ainsi que les données qu'il introduit. Les personnes interrogées de même que les collaborateurs sont informés à chaque entretien que des tiers peuvent suivre la conversation. Les collaborateurs qui ont été contrôlés reçoivent à la fin de leur travail une analyse du contrôle effectué sur laquelle ils doivent prendre position avant de pouvoir quitter leur place de travail.
Nous considérons ce genre de contrôle de qualité comme disproportionné, car il donne l'impression aux collaborateurs d'être sous surveillance constante, même si seule une petite partie des conversations sont effectivement contrôlées. Étant donné que ce genre de contrôle représente une atteinte sérieuse à la sphère privée, nous sommes d'avis que les collaborateurs doivent être informés explicitement avant chaque contrôle que leur conversation va être mise sur écoute. De même, les conséquences possibles des évaluations des contrôles doivent être définies de manière systématique et claire pour les collaborateurs.