- Le droit d’accès selon l’art. 8 aLPD ne porte en principe que sur des copies de données personnelles et non sur la remise de documents entiers.
- Le TAF ne peut pas simplement se référer au RGPD pour interpréter la LPD ; les références au droit de l’UE ne sont autorisées que de manière limitée.
Avec Arrêt A‑4873/2021 du 11 avril 2024 le TAF a décidé que le droit d’accès selon l’art. 8 aLPD (qui s’appliquait encore en vertu du droit transitoire) ne conférait pas un droit à des copies de documents, mais uniquement à des copies de données personnelles.
Une exception doit s’appliquer lorsque la mise à disposition d’un document est nécessaire dans un cas particulier pour rendre compréhensible le contenu informatif d’une donnée personnelle (ce qui n’a pas été démontré dans le cas présent ; la déclaration du TAF à ce sujet est donc un obiter dictum) :
6.4.8 En résumé, il n’existe pas de droit fondamental d’une personne demandant des renseignements à obtenir des photocopies des documents dans lesquels se trouvent ses données, que ce soit du point de vue grammatical, systématique, historique, téléologique ou de l’époque de validité. Même selon l’aLPD, le droit ne porte en principe que sur les données personnelles en tant que telles.. Toutefois, étant donné que ces dernières doivent être communiquées de manière à être compréhensibles […], il peut être nécessaire dans certains cas – d’un point de vue téléologique, compte tenu de l’allusion faite dans le message du Conseil fédéral et par analogie avec la jurisprudence convaincante de la CJCE – de remettre une photocopie du document à la personne demandant des renseignements afin de contextualiser le traitement des données […].
Le jugement est correct dans son résultat, c’est-à-dire en cas de refus d’accès à des documents, tant sous l’ancienne que sous l’actuelle LPD.
Il est toutefois critiquable sur trois points :
- Le TAF procède tout d’abord à une interprétation beaucoup plus détaillée qu’il n’est nécessaire. La LPD n’étant généralement applicable qu’au traitement de données personnelles, le droit d’accès ne peut a priori pas aller plus loin. La LPD actuelle précise en outre que le droit d’accès ne porte que sur les “données personnelles en tant que telles”, ce dont le TAF tient également compte dans son interprétation.
- Sans nécessité, le TAF se réfère au RGPD. Au moins, il tient bon :
Par souci d’exhaustivité, il convient d’évoquer l’article 15 du RGPD et la jurisprudence y afférente. Certes, l’article 15 du RGPD n’est pas pertinent pour l’interprétation de l’article 8, paragraphe 5, de l’aLPD, car le premier n’a pas servi de modèle au législateur […]. Cela n’a été le cas que pour la LPD en vigueur […]. Toutefois, étant donné que l’article 15 du RGPD présente un libellé comparable et qu’il existe déjà des décisions de justice concernant sa portée, il est justifié d’y porter un regard de droit comparé.
Il n’est pas vrai que le RGPD ait servi de modèle en matière de droit d’accès. Mais il est surtout à craindre qu’un tel regard latéral – ou vers le haut ? – devienne la règle. Il est toutefois erroné dans la mesure où il ne ressort pas des documents que la LPD visait à s’aligner sur le RGPD non seulement sur le plan terminologique, mais aussi sur le plan du contenu. Même si le TAF qualifie la référence au RGPD de “droit comparé” : Les tribunaux ne peuvent pas reprendre subrepticement le RGPD, et ce même sous le titre de “plausibilisation”. L’interprétation de la LPD doit se faire selon les règles d’interprétation habituelles ; le RGPD n’est en principe pas pertinent, et ce même si le résultat de l’interprétation n’est pas “plausible”. Dans le cas du présent jugement, il n’est pas du tout clair dans quelle mesure le regard porté sur le RGPD était pertinent pour le résultat.
- Ce qui est très discutable, c’est la déclaration, un document complet doit être remis si cela nécessaires à la compréhension des données personnelles n’est pas le cas. Plusieurs raisons s’opposent à cette conception – discutée dans la littérature :
- Le législateur lui-même a fixé à l’art. 25 al. 1 let. a‑g ce qui est nécessaire à la compréhension. Certes, l’art. 25 al. 1 contient, comme on le sait, une clause générale dont la portée n’est pas claire. Mais en tout cas, le législateur s’est efforcé de mentionner les indications généralement pertinentes concernant le traitement. Il ne peut être nécessaire d’en dire plus qu’exceptionnellement. Un manque de compréhension des données personnelles ne peut guère suffire. Celui qui connaît ses données personnelles, le but et les autres circonstances du traitement des données mentionnées dans la loi devrait avoir la compréhension nécessaire du traitement.
- Quel serait l’objet de la “compréhension” ? En fin de compte, ce sont les aspects de la protection des données qui doivent être pertinents – la compréhension que l’on cherche manifestement à obtenir doit être interprétée en tenant compte de l’autodétermination en matière d’information. Pour cette autodétermination, une compréhension de base et un droit d’opposition suffisent toutefois. Une compréhension plus large d’un traitement de données ne peut guère être une préoccupation du droit de la protection des données. Le droit de la protection des données n’est pas l’AT d’un droit général à l’autodétermination. Il faudrait donc montrer dans quelle mesure une personne concernée ne peut exercer son autodétermination sur ses données personnelles que si elle connaît l’ensemble du document.
- Dans la mesure où un responsable ne peut établir qu’intellectuellement un lien entre une donnée personnelle et le contexte, c’est-à-dire qu’il déduit ou peut déduire du contexte d’une donnée personnelle des conclusions qui ne ressortent pas de la donnée personnelle elle-même, il convient de se référer à des données personnelles. ATF 147 III 139 Rappelons que le droit d’accès “vise à saisir des fichiers écrits ou “physiques”, et donc objectivement consultables à long terme, et non des données simplement consultables de mémoire”. Un contexte qui ne permet que des déductions intellectuelles n’est pas une donnée objectivement visible, raison pour laquelle il ne fait pas l’objet d’une demande de renseignements et pourquoi il n’est pas possible de demander un document entier pour la “contextualisation”.
- Le TAF se réfère ici au Arrêt de la CJCE dans l’aff. C‑487/21 dans l’affaire CRIF. Ce jugement n’est pas transposable :
- Le RGPD n’est pas déterminant ici (voir ci-dessus). Rien dans les documents n’indique que l’on aurait voulu reprendre le RGPD pour le droit d’accès.
- Au contraire, le RGPD contient à l’article 12 un principe général de facilitation des droits des personnes concernées. La CJCE s’est appuyée sur cette disposition. Le droit suisse de la protection des données ne contient pas de disposition analogue.
- L’article 16, paragraphe 4, du RGPD prévoit certes que les informations doivent être fournies “sous une forme compréhensible”. Il ressort toutefois du rapport explicatif du RGPD que cette exigence se réfère uniquement au format des renseignements (“Si des données personnelles sont fournies sous une forme technique, par exemple dans un format de fichier non usuel, qui n’est pas lisible et/ou compréhensible pour la personne concernée, le responsable doit être en mesure de lui fournir des explications complémentaires, par exemple oralement”). On ne peut en déduire un droit à la “contextualisation” du LPP (et la LPD ne contient pas non plus de délégation pour l’introduction d’une obligation de facilitation par le législateur).