Vous trouvez ci-dessous une sélection des articles du 13e rapport d'activités du PFPDT. Le texte intégral peut être téléchargé sous forme PDF depuis notre site ou être commandé auprès de l'office fédéral des constructions et de la logistique OFCL. Vous trouvez les informations à ce sujet à droite sur cette page.
Avant-propos
Le point culminant de l’année 2005 a été incontestablement la 27ème Conférence internationale des commissaires à la protection des données et à la protection de la vie privée que nous avons organisée à Montreux, du 14 au 16 septembre. Plus de 350 participants venus du monde entier ont pris part à une rencontre très enrichissante qui a suscité un grand intérêt tant sur le plan national qu’international. La Conférence avait pour thème: «Dans un monde globalisé, un droit universel à la protection des données personnelles et à la vie privée dans le respect des diversités»: elle a trouvé son apogée dans la déclaration finale, qui a été l’occasion de renforcer l’universalité des principes de la protection des données. Nous sommes persuadés que cette déclaration de Montreux donnera une impulsion majeure à la diffusion et au développement, à l’échelle internationale, de la protection de la personnalité. Je tiens à remercier celles et ceux qui ont contribué au succès de cette rencontre, tout particulièrement la Chancelière de la Confédération, dont l’importante participation financière accordée sur son budget a tout simplement permis à la 27ème Conférence de voir le jour. La Conférence a adopté deux résolutions importantes. La première traite de l’utilisation des données biométriques dans les passeports, les cartes d’identité et les documents de voyage, la seconde concerne l’utilisation de données personnelles dans la communication politique (pour plus de détails, se reporter au compte rendu détaillé figurant au chiffre 9.2.1).
Procédure de certification dans le cadre du projet de révision de la loi fédérale sur la protection des données
Une procédure de certification volontaire en matière de protection de données est prévue dans le cadre du projet de révision de la LPD. En ce qui concerne la certification d’organisations, un référentiel type en deux parties sera soumis à des entreprises certificatrices pour appréciation. La première partie porte sur les exigences que doit remplir un système de gestion de protection des données, tandis que la seconde se concentre sur une grille de vérification de conformité, soit sur les exigences concrètes de protection des données dérivées de la LPD.
Transfert de données personnelles par les compagnies aériennes aux autorités américaines et canadiennes
La communication de données personnelles sur les passagers aux autorités américaines par les compagnies aériennes soumises à la législation suisse sur la protection des données est réglée par un accord conclu entre la Suisse et le Etats-Unis. Celui-ci a été avalisé par le Conseil fédéral le 4 mars 2005. Dans cet accord, les autorités américaines fournissent les mêmes garanties que celles accordées à l’Union européenne. Sous l’angle de la protection des données, cet accord peut être jugé comme acceptable. Un accord similaire a été conclu le 16 mars 2006 avec le Canada.
Harmonisation des registres, identificateur de personnes et recensement de la population
En vue du recensement de la population de 2010, on a cherché à harmoniser les registres de personnes. Il était prévu d’introduire un identificateur de personnes pour faire le lien entre les différents registres existants. Plusieurs projets ont été élaborés à cette fin. Le dernier projet en date prévoit d’harmoniser les registres en utilisant le numéro AVS comme référence commune dans tous les registres. Nous préconisons cependant de considérer également d’autres modèles pour le recensement de la population à partir de registres.
Engagement des drones de reconnaissance au profit du Corps des gardes-frontière
Le Corps des gardes-frontière voudrait faire surveiller les frontières nationales à l’aide de drones de reconnaissance de l’armée. Or ces vols de reconnaissance ne se limitent pas à surveiller les entrées illégales en Suisse: une multitude de citoyens n’ayant rien à se reprocher tomberaient également dans l’objectif des caméras-vidéos des drones. L’utilisation des drones requiert une base légale expresse et suffisante dans le droit fédéral.
Publication sur Internet de données extraites du registre du commerce
Un particulier ne peut traiter des données extraites du registre du commerce que s’il peut produire un motif justificatif. L’analyse de crédit ne peut être considérée comme motif justificatif que si le tiers peut justifier d’un intérêt à obtenir ces données.
Système biométrique de contrôle d’accès à un centre sportif
La vérification biométrique d’identité est en pleine expansion pour le contrôle d’accès à des installations publiques. Pour répondre aux préoccupations des abonnés concernés, nous avons décidé de procéder à un contrôle du nouveau système biométrique de contrôle d’accès mis en place dans un centre sportif privé. Nous analysons à présent les données récoltées, en les évaluant à l’aune des principes fondamentaux de protection des données.
Contrôle de l’utilisation de la biométrie à l’enregistrement et à l’embarquement à l’aéroport de Zurich-Kloten
Le projet pilote Secure Check a été mené à l’aéroport de Zurich-Kloten de décembre 2004 à mi-avril 2005. Ce projet visait à améliorer le contrôle de sécurité des données des passagers et des documents de voyage avant le départ grâce à l’utilisation de données biométriques et à raccourcir les délais d’attente des passagers aux points de contrôle. Suite à notre contrôle de l’utilisation de la biométrie à l’enregistrement et à l’embarquement, nous avons donné une appréciation essentiellement positive de l’usage fait des données biométriques. Quelques réflexions fondamentales s’imposent toutefois quant à l’utilisation de la biométrie à l’aéroport de Zurich-Kloten.
Vente de billets personnalisés pour les manifestations sportives de grande envergure
Ces dernières années, les organisateurs de manifestations sportives ont procédé de plus en plus souvent à des ventes de billets personnalisés. En parallèle, les travaux de législation avancent dans le domaine de la lutte contre la violence lors de manifestations sportives de masse (hooliganisme). Nous accompagnons d’une part ces travaux de législation dans le domaine de la sécurité publique. D'autre part, en vue de l’EURO 08, nous effectuons des recherches auprès des organes responsables de la vente des billets, dans la mesure où leur siège se trouve en Suisse.
Révision de la loi fédérale instituant des mesures visant au maintien de la sûreté intérieure
Dans le cadre de la consultation des offices, nous avons été invités à prendre position sur deux projets consécutifs de révision de la loi fédérale instituant des mesures visant au maintien de la sûreté intérieure (LMSI II). Dans notre prise de position relative au premier projet, nous avons estimé que les nouvelles mesures prévues ne respectaient pas les droits fondamentaux, notamment du fait qu’elles constituaient des atteintes disproportionnées à la sphère privée. Dans notre prise de position relative au second projet de révision, nous avons - en dépit des changements apportés - maintenu nos critiques et estimé que le nouveau projet de révision n’était pas conforme aux principes de protection des données.
Protection des données et lutte contre le hooliganisme
Dans le cadre de la consultation des offices, nous avons pris position sur le projet de modification de la loi fédérale instituant des mesures visant au maintien de la sûreté intérieure (loi fédérale sur les mesures contre la propagande incitant à la violence et contre la violence lors de manifestations sportives, LMSI I). Cette loi prévoit notamment l’introduction d’une «banque de données sur le hooliganisme». Bien que certaines de nos remarques aient été retenues dans le projet de loi, quelques différends et questions ouvertes subsistent. Par ailleurs, suite à notre prise de position, et en réponse à une demande, nous avons soutenu que l’utilisation d’un système de reconnaissance faciale biométrique n’est pas couverte par le présent projet de loi.
Introduction de données biométriques dans le nouveau passeport suisse
Dès septembre 2006, des passeports biométriques seront établis en Suisse dans le cadre d’un projet pilote devant durer cinq ans. Durant la phase de planification, nous avons pris contact avec les services responsables de l’Office fédéral de la police afin de nous assurer du respect des principes de la protection des données. En parallèle, nous nous sommes prononcés, dans le cadre de la procédure de consultation, sur la révision de la loi fédérale et de l’ordonnance fédérale sur les documents d’identité. Un point nous a semblé disproportionné dans la révision de la loi, à savoir l’enregistrement des données biométriques de la personne titulaire du passeport dans une banque de données centrale.
Les biobanques: entre les intérêts de la recherche et la protection de la personnalité
Les biobanques rassemblent une multitude de données sur une personne. Outre les données concernant la santé et le style de vie, elles contiennent aussi du matériel biologique (sang, ADN, tissus, lignages cellulaires) qui est ensuite traité pour la recherche. Comment agir en présence de matériel biologique et quelles exigences poser au consentement de la personne concernée sans entraver complètement la recherche? Comment empêcher une utilisation abusive des données (génétiques) obtenues? Nous avons pris part à diverses rencontres au cours desquelles ces questions ont été soulevées. L’Académie suisse des sciences médicales (ASSM) a élaboré des directives qu’elle a envoyées en consultation. Ces directives accordent une grande importance à la protection des données et de la personnalité dans le cas des biobanques.
La sécurité des données dans un cabinet médical
L’ordinateur est devenu un élément essentiel d’un cabinet médical, d’autant plus que les prestations médicales doivent être facturées électroniquement depuis 2006. L’introduction prévue de la carte d’assuré favorise également fortement ce développement. Les demandes que nous avons reçues montrent qu’il existe une certaine insécurité au sein des fournisseurs de prestations concernant la question de savoir comment permettre au cabinet médical de recourir au traitement électronique tout en assurant une protection suffisante. Parmi les solutions possibles, on compte la séparation des données, de manière logique ou physique.
Questions de protection des données liées à l’introduction de la carte d’assuré
Dans le cadre de la révision de la loi fédérale sur l'assurance-maladie, le législateur a créé les bases légales pour l’introduction de la «carte d’assuré» en Suisse. L’office fédéral de la santé publique a été chargé d’élaborer les bases pour l’introduction de cette carte. Nous accompagnons le projet depuis qu’il a été lancé.
La 5ème révision de l’assurance-invalidité
Dans le cadre de la consultation des offices sur la 5ème révision de l’AI, nous nous sommes à nouveau prononcés sur des questions relevant de la protection des données. Le Conseil fédéral a adopté le message ainsi que le texte de loi. Néanmoins, le message n’est pas satisfaisant du point de vue de la protection des données. La 5ème révision de l’AI est actuellement en suspens devant le parlement.
Activité de surveillance dans le domaine des cartes de crédit
Les clauses de consentement relatives au traitement des données figurant sur les demandes de cartes de crédit soulèvent régulièrement des questions et des critiques de la population. Nous avons donc examiné plus en détail les formulations correspondantes des principaux éditeurs de cartes et les avons évaluées en fonction du traitement des données qu’elles impliquaient. Nous parvenons à la conclusion que ces clauses apparaissent pires à la lecture qu’elles ne le sont en réalité. Dans le but d’augmenter la transparence dans ce domaine, nous avons décidé d’élaborer des clauses standard minimales et de les mettre à disposition des émetteurs de cartes de crédit.
Communication de données personnelles relatives au trafic des paiements aux autorités américaines
La communication de données personnelles effectuée par Postfinance à un institut bancaire situé sur le territoire américain doit reposer sur un motif justificatif et la personne concernée doit être informée de manière appropriée. Suite à notre intervention, Postfinance a adapté sa pratique et proposé des mesures tenant compte de nos remarques.
Conférence internationale des commissaires à la protection des données
La 27ème Conférence internationale des Commissaires à la protection des données et à la vie privée s’est tenue à Montreux du 14 au 16 septembre 2005. Organisée par le PFPD, elle réunissait les autorités de protection des données de quelque 40 Etats du monde entier. Elle s’est achevée avec l’adoption d’une déclaration finale visant au renforcement du caractère universel des principes de la protection des données. Les commissaires européens ont également adopté une résolution sur l’utilisation des données biométriques dans les passeports, les cartes d’identité et les documents de voyage ainsi qu’une résolution sur l’utilisation des données personnelles pour la communication politique.
Informations complémentaires
Documents
Publications
Commande
Le rapport annuel peut être commandé à l'OFCL, Vente de publications, 3003 Berne. Art. no. 410.013