- Le PFPDT exige un consentement explicite et une information complète pour l’utilisation politique d’outils de campagne numériques qui traitent des données personnelles.
- L’association de données provenant de sites web et de médias sociaux peut générer des profils de personnalité et des données sensibles, ce qui nécessite une justification supplémentaire.
- Conflit avec l’interprétation de la LPD : critique selon laquelle la LPD autorise en principe le traitement des données et que seules certaines transmissions de données sensibles à des tiers nécessitent une justification spéciale.
Le PFPDT a formulé des exigences concernant “l’utilisation d’outils de campagne numériques à des fins politiques”. Il s’agit de
[…] des applications numériques que les groupes politiques et les groupes d’intérêt utilisent pour intégrer des actions, par exemple dans l’environnement de leur site web, et dont la planification et la mise en œuvre sont ciblées sur les interactions avec certains groupes de personnes. Les données nécessaires à cet effet proviennent de personnes qui ont manifesté un intérêt pour certains contenus. En fournissant aux responsables de la campagne des informations telles que Nom ou adresse e‑mail et les comparer de manière algorithmique leur comportement en tant qu’utilisateurs de plateformes de médias sociauxLes jeunes qui ont des intérêts et des tendances politiques en tirent des conclusions.
L’utilisation de tels outils n’est autorisée que s’il existe un consentement, qui doit notamment être explicite ; en outre, une information sur certains points est nécessaire.
Le PFPDT réitère ici son avis selon lequel le traitement de données personnelles sensibles ou de profils de la personnalité nécessite un motif justificatif :
La mise en relation des données que les personnes concernées laissent sur les sites web et les plateformes de médias sociaux peut en outre donner lieu à des profils de personnalité. S’il n’y a pas de Motif justificatif par la loi ni d’un intérêt prépondérant privé ou public au sens de l’article 13 de la loi fédérale sur la protection des données (LPD), le traitement de données personnelles sensibles ou de profils de la personnalité selon l’article 4, 5e alinéa, LPD requiert une consentement explicite des personnes concernées.
Cette attitude est contraire non seulement au concept, mais aussi au texte clair de la LPD (art. 12, en particulier art. 12, al. 2, let. c LPD). Le traitement des données est en principe autorisé et n’est interdit qu’en cas de violation d’un principe de traitement (art. 4, 5 et 7) ou d’opposition (art. 12, al. 2, let. b). Cela vaut également pour les données sensibles. L’art. 12, al. 2, let. c, prévoit une exception ponctuelle : (uniquement) les Transmission à des tiers de données sensibles nécessite une justification. Le projet de révision de la LPD ne change rien au principe de la liberté de traitement des données, même sensibles (art. 26 P‑LPD).