Ven­te à emporter (AI)
  • L’E-LPD ne modi­fie pas le prin­ci­pe sui­s­se de pro­tec­tion des don­nées : le pro­fi­la­ge ne requiert pas sys­té­ma­ti­quement un con­sen­te­ment ; le trai­te­ment est auto­ri­sé si aucun prin­ci­pe de trai­te­ment n’est violé.
  • Un con­sen­te­ment expli­ci­te n’est néces­saire que si le pro­fi­la­ge por­te att­ein­te à un prin­ci­pe de trai­te­ment et qu’il n’e­xi­ste aucun aut­re motif de justification.

Com­me rap­por­te le Par­le­ment a adop­té l’E-DSG lors du vote final d’aujourd’hui.

Une que­sti­on qui a accom­pa­gné les négo­cia­ti­ons ardues des con­seils était cel­le de la Con­sen­te­ment en cas de pro­fi­la­ge. Le PFPDT a déjà adop­té cet­te posi­ti­on à plu­sieurs repri­ses (cf. ici), le trai­te­ment de don­nées per­son­nel­les sen­si­bles et de pro­fils de la per­son­na­li­té n’est tou­jours auto­ri­sé qu’a­vec le con­sen­te­ment. Le PFPDT sou­hai­te sans dou­te que cet­te posi­ti­on soit com­pri­se com­me une recom­man­da­ti­on et non com­me le résul­tat d’un droit impé­ra­tif, et dans cer­tai­nes situa­tions, il est judi­cieux de deman­der volon­tai­re­ment un con­sen­te­ment – mais d’un point de vue juri­di­que, cet­te posi­ti­on serait clai­re­ment erronée.

Dans le domaine pri­vé, la LPD et l’E-LPD sui­vent con­cep­tu­el­le­ment la pro­tec­tion de la per­son­na­li­té du CC. Il n’est pas illi­ci­te de s’ex­pri­mer néga­ti­ve­ment sur une per­son­ne tant que le seuil de l’att­ein­te à la per­son­na­li­té n’est pas att­eint, et il est tout aus­si illi­ci­te de trai­ter des don­nées per­son­nel­les – quel­les que soi­ent les don­nées per­son­nel­les et la métho­de de trai­te­ment – tant que les prin­cipes de trai­te­ment ne sont pas vio­lés. Le RGPD adop­te une appro­che dif­fé­ren­te, le prin­ci­pe d’in­ter­dic­tion, qui n’est trans­gres­sé que ponc­tu­el­le­ment ; mais cet­te appro­che est étran­gè­re au droit suisse.

Le site E‑DSG n’a pas modi­fié ce con­cept. Il faut éga­le­ment men­ti­on­ner ce point, car les débats au Par­le­ment aurai­ent par­fois pu don­ner l’im­pres­si­on qu’il en allait autre­ment, du moins pour le pro­fi­la­ge à haut ris­que, et que le con­sen­te­ment était tou­jours et fon­da­men­ta­le­ment une con­di­ti­on pré­alable. C’est faux, et il res­sort clai­re­ment des votes aux Cham­bres qu’il n’é­tait pas pré­vu de s’é­car­ter aus­si fon­da­men­ta­le­ment du système actuel. Com­me aujour­d’hui, le pro­fi­la­ge ne requiert pas de con­sen­te­ment, qu’il soit expli­ci­te ou implicite.

L’hi­sto­ri­que de l’E-DSG le mont­re éga­le­ment. Dans le site Avant-pro­jet de la nou­vel­le LPD pré­voyait enco­re que le pro­fi­la­ge sans con­sen­te­ment expli­ci­te était illicite :

Art. 23 Att­ein­tes à la personnalité

1 Qui­con­que trai­te des don­nées per­son­nel­les ne doit pas por­ter att­ein­te de maniè­re illi­ci­te à la per­son­na­li­té des per­son­nes concernées.

2 Il y a notam­ment att­ein­te à la personnalité

[…]

d. par Pro­fi­la­ge sans con­sen­te­ment expli­ci­te de la per­son­ne concernée.

Si le Con­seil fédé­ral avait vrai­ment eu l’in­ten­ti­on à l’é­po­que d’in­terd­ire le pro­fi­la­ge sans con­sen­te­ment (ce qui n’est pas cer­tain ; le rap­port expli­ca­tif ne per­met­tait pas de savoir si le Con­seil fédé­ral était con­sci­ent de la por­tée de sa pro­po­si­ti­on), il l’au­rait en tout cas fait au bon end­roit, à savoir dans la dis­po­si­ti­on rela­ti­ve aux att­ein­tes à la per­son­na­li­té. Tou­te­fois, cet­te deman­de s’est heur­tée à une lar­ge oppo­si­ti­on lors de la pro­cé­du­re de con­sul­ta­ti­on et cet­te dis­po­si­ti­on n’a pas été repri­se dans le pro­jet de LPD. Il est donc clair que l’in­ter­dic­tion du pro­fi­la­ge sans con­sen­te­ment a été pro­po­sée, dis­cu­tée et aban­don­née. Il fau­drait quel­ques con­tor­si­ons pour la réin­tro­dui­re dans la loi (même si cer­ta­ins par­ti­ci­pan­ts à la con­sul­ta­ti­on ont dit à l’é­po­que qu’il n’y avait pas beso­in de cet­te inter­dic­tion par­ti­cu­liè­re, car elle figu­rait déjà en tête des principes).

Com­me nous l’a­vons men­ti­onné, il ne res­sort pas non plus des débats par­le­men­tai­res qu’un pro­fi­la­ge néces­si­te tou­jours un con­sen­te­ment. Cer­tes, on trouve des décla­ra­ti­ons qui pour­rai­ent être lues de cet­te maniè­re si l’on fai­sait preuve de bon­ne – ou de mau­vai­se – volon­té, par exemp­le les suivantes

  • SR Fäss­ler, AB 2019 S 1240:

    Il n’est pas con­te­sté que le trai­te­ment de don­nées per­son­nel­les sen­si­bles doit tou­jours fai­re l’ob­jet d’un con­sen­te­ment explicite” ;

  • CN Flu­ri, AB 2019 N 1787:

    Nous vous pro­po­sons d’e­xi­ger un con­sen­te­ment expli­ci­te à l’a­li­néa 7 pour le trai­te­ment de don­nées per­son­nel­les sen­si­bles […] La mino­ri­té I (Wer­muth) exi­ge un con­sen­te­ment expli­ci­te en cas de pro­fi­la­ge impli­quant un ris­que éle­vé pour la per­son­na­li­té ou les droits fondamentaux”.

Ce n’est tou­te­fois pas ain­si que je peux com­prend­re ces décla­ra­ti­ons. Au con­trai­re, il sem­ble qu’il y ait eu une cer­taine con­fu­si­on au sein des Cham­bres en ce qui con­cer­ne le con­cept de la LPD. Et les voix qui ne par­tent pas d’u­ne exi­gence de con­sen­te­ment de prin­ci­pe sont beau­coup plus clai­res, en par­ti­cu­lier cel­les de la CF Sommaruga :

  • BR Som­ma­ru­ga, AB 2019 N 1788:

    Ni la loi sur la pro­tec­tion des don­nées en vigueur ni le pro­jet du Con­seil fédé­ral n’e­xi­gent fon­da­men­ta­le­ment un con­sen­te­ment pour le trai­te­ment de don­nées per­son­nel­les ; aucun système dit “opt-in” ne s’ap­pli­que donc. Pour­tant, le con­sen­te­ment joue un rôle important pour les per­son­nes pri­vées qui trai­tent des don­nées. Le con­sen­te­ment peut en effet ser­vir à justi­fier un trai­te­ment de don­nées portant att­ein­te à la per­son­na­li­té. Dans ce cas, le con­sen­te­ment doit rem­plir dif­fé­ren­tes con­di­ti­ons : Le con­sen­te­ment doit être don­né libre­ment et sans équi­vo­que après une infor­ma­ti­on appro­priée ; et si des don­nées per­son­nel­les sen­si­bles sont trai­tées ou si un pro­fi­la­ge est effec­tué, le con­sen­te­ment doit être explicite” ;

  • NR Wer­muth, AB 2019 N 1785:

    Il s’a­git déjà du cas spé­cial – si vous vou­lez – dans lequel un con­sen­te­ment est néces­saire. Cela con­cer­ne par exemp­le le con­sen­te­ment au sens de l’ar­tic­le 27, para­gra­phe 1, sur les motifs de justi­fi­ca­ti­on des att­ein­tes à la per­son­na­li­té – lorsque vous con­sen­tez à l’att­ein­te à la per­son­na­li­té, qui n’en est plus une”.

  • SR Fäss­ler (le 23 sep­tembre 2020):

    Le règle­ment de base de l’UE sur la pro­tec­tion des don­nées pré­voit que tout trai­te­ment de don­nées à carac­tère per­son­nel est illé­gal, sauf si la per­son­ne con­cer­née a don­né son con­sen­te­ment au trai­te­ment des don­nées ou s’il exi­ste un aut­re motif juri­di­que. La con­cep­ti­on dans not­re droit est inver­sée. Le trai­te­ment des don­nées est en prin­ci­pe auto­ri­sé, à moins qu’il n’e­xi­ste un cas d’exception.

Il res­sort éga­le­ment du mes­sa­ge que la P‑LPD n’a­vait pas pour but de s’é­car­ter du système actuel :

Le con­sen­te­ment pour le pro­fi­la­ge est éga­le­ment sou­mis à des exi­gen­ces accrues, com­me c’est déjà le cas dans le droit en vigueur pour le trai­te­ment des pro­fils de la personnalité.

Cela dev­rait être clair :

  • Le site Tex­te de la LPD et de la P‑LPD plai­de en faveur du fait que le con­sen­te­ment n’est pas tou­jours néces­saire pour les don­nées sen­si­bles et le pro­fi­la­ge ou le trai­te­ment de pro­fils de la per­son­na­li­té. La dis­po­si­ti­on déter­mi­nan­te est struc­tu­rée de la même maniè­re dans les deux cas : “Pour [ou pour] le trai­te­ment de [don­nées per­son­nel­les sensibles/profils de la personnalité/profilage], le con­sen­te­ment doit être expli­ci­te”. C’est dif­fé­rent de “Le trai­te­ment de […] requiert un con­sen­te­ment expli­ci­te”. et indi­que clai­re­ment qu’u­ne éven­tu­el­le exi­gence de con­sen­te­ment fixée ail­leurs est repri­se et pré­cis­ée ici, mais pas statuée.
  • De la Sys­té­ma­tique il en résul­te la même cho­se à deux égards : pre­miè­re­ment, l’ex­pres­si­vi­té n’est pas men­ti­onnée – com­me d’aut­res prin­cipes d’in­ter­dic­tion, par exemp­le le trai­te­ment cont­re la volon­té de la per­son­ne con­cer­née – dans les att­ein­tes à la per­son­na­li­té (à l’art. 12 LPD ou à l’art. 26 P‑LPD), mais au début, dans les dis­po­si­ti­ons géné­ra­les. Deu­xiè­me­ment, il res­sort des dis­po­si­ti­ons rela­ti­ves aux justi­fi­ca­ti­ons (art. 13 LPD et art. 27 P‑LPD) que le con­sen­te­ment est pla­cé sur un pied d’é­ga­li­té avec les aut­res motifs de justi­fi­ca­ti­on. N’au­to­ri­ser que le con­sen­te­ment pour cer­ta­ins trai­te­ments, mais aucun aut­re motif justi­fi­ca­tif, serait étran­ger à la LPD.
  • Le site Histo­ri­que de la légis­la­ti­on mont­re que l’in­ter­dic­tion du pro­fi­la­ge sans con­sen­te­ment a été envi­sa­gée, mais n’a pas été repri­se dans la loi.
  • Les votes dans la Con­seil indi­quent clai­re­ment que les con­seils n’ont pas vou­lu intro­dui­re un prin­ci­pe d’in­ter­dic­tion pour le profilage.

Il reste donc que le pro­fi­la­ge, qu’il soit à fai­ble ou à haut ris­que, ne néces­si­te pas de con­sen­te­ment, à moins qu’il ne vio­le un prin­ci­pe de traitement.

Inver­se­ment, une Con­sen­te­ment requis pour le pro­fi­la­gesi

  • un Le prin­ci­pe de trai­te­ment n’est pas respec­té sera, par exemple 
    • le prin­ci­pe de trans­pa­rence (ce qui ne peut tou­te­fois pas être déduit d’u­ne vio­la­ti­on du devoir d’in­for­ma­ti­on selon l’art. 17 P‑LPD, car l’art. 17 P‑LPD n’est ni un prin­ci­pe de trai­te­ment ni une con­cré­ti­sa­ti­on du prin­ci­pe de transparence),
    • le prin­ci­pe de limi­ta­ti­on de la fina­li­té (le pro­fi­la­ge en tant que tel n’est pas une fina­li­té, mais une moda­li­té de trai­te­ment, un “moy­en” de trai­te­ment. Celui qui effec­tue un nou­veau pro­fi­la­ge dans un but auto­ri­sé jus­qu’à pré­sent ne vio­le donc pas le prin­ci­pe de limi­ta­ti­on de la finalité),
    • le prin­ci­pe de pro­por­ti­on­na­li­té (la pro­por­ti­on­na­li­té étant fonc­tion de la fina­li­té du trai­te­ment ; le pro­fi­la­ge est donc pro­por­ti­onné dans la mesu­re où il est adap­té et néces­saire à une fina­li­té, même s’il est glo­bal – par exemp­le à des fins de per­son­na­li­sa­ti­on du mar­ke­ting ; la fina­li­té, pour sa part, n’est pas sou­mi­se au prin­ci­pe de pro­por­ti­on­na­li­té, mais à celui de la liber­té économique) ;
  • et en même temps aucun aut­re motif justi­fi­ca­tif existe.