- L’E-LPD ne modifie pas le principe suisse de protection des données : le profilage ne requiert pas systématiquement un consentement ; le traitement est autorisé si aucun principe de traitement n’est violé.
- Un consentement explicite n’est nécessaire que si le profilage porte atteinte à un principe de traitement et qu’il n’existe aucun autre motif de justification.
Comme rapporte le Parlement a adopté l’E-DSG lors du vote final d’aujourd’hui.
Une question qui a accompagné les négociations ardues des conseils était celle de la Consentement en cas de profilage. Le PFPDT a déjà adopté cette position à plusieurs reprises (cf. ici), le traitement de données personnelles sensibles et de profils de la personnalité n’est toujours autorisé qu’avec le consentement. Le PFPDT souhaite sans doute que cette position soit comprise comme une recommandation et non comme le résultat d’un droit impératif, et dans certaines situations, il est judicieux de demander volontairement un consentement – mais d’un point de vue juridique, cette position serait clairement erronée.
Dans le domaine privé, la LPD et l’E-LPD suivent conceptuellement la protection de la personnalité du CC. Il n’est pas illicite de s’exprimer négativement sur une personne tant que le seuil de l’atteinte à la personnalité n’est pas atteint, et il est tout aussi illicite de traiter des données personnelles – quelles que soient les données personnelles et la méthode de traitement – tant que les principes de traitement ne sont pas violés. Le RGPD adopte une approche différente, le principe d’interdiction, qui n’est transgressé que ponctuellement ; mais cette approche est étrangère au droit suisse.
Le site E‑DSG n’a pas modifié ce concept. Il faut également mentionner ce point, car les débats au Parlement auraient parfois pu donner l’impression qu’il en allait autrement, du moins pour le profilage à haut risque, et que le consentement était toujours et fondamentalement une condition préalable. C’est faux, et il ressort clairement des votes aux Chambres qu’il n’était pas prévu de s’écarter aussi fondamentalement du système actuel. Comme aujourd’hui, le profilage ne requiert pas de consentement, qu’il soit explicite ou implicite.
L’historique de l’E-DSG le montre également. Dans le site Avant-projet de la nouvelle LPD prévoyait encore que le profilage sans consentement explicite était illicite :
Art. 23 Atteintes à la personnalité
1 Quiconque traite des données personnelles ne doit pas porter atteinte de manière illicite à la personnalité des personnes concernées.
2 Il y a notamment atteinte à la personnalité
[…]d. par Profilage sans consentement explicite de la personne concernée.
Si le Conseil fédéral avait vraiment eu l’intention à l’époque d’interdire le profilage sans consentement (ce qui n’est pas certain ; le rapport explicatif ne permettait pas de savoir si le Conseil fédéral était conscient de la portée de sa proposition), il l’aurait en tout cas fait au bon endroit, à savoir dans la disposition relative aux atteintes à la personnalité. Toutefois, cette demande s’est heurtée à une large opposition lors de la procédure de consultation et cette disposition n’a pas été reprise dans le projet de LPD. Il est donc clair que l’interdiction du profilage sans consentement a été proposée, discutée et abandonnée. Il faudrait quelques contorsions pour la réintroduire dans la loi (même si certains participants à la consultation ont dit à l’époque qu’il n’y avait pas besoin de cette interdiction particulière, car elle figurait déjà en tête des principes).
Comme nous l’avons mentionné, il ne ressort pas non plus des débats parlementaires qu’un profilage nécessite toujours un consentement. Certes, on trouve des déclarations qui pourraient être lues de cette manière si l’on faisait preuve de bonne – ou de mauvaise – volonté, par exemple les suivantes
- SR Fässler, AB 2019 S 1240:
“Il n’est pas contesté que le traitement de données personnelles sensibles doit toujours faire l’objet d’un consentement explicite” ;
- CN Fluri, AB 2019 N 1787:
“Nous vous proposons d’exiger un consentement explicite à l’alinéa 7 pour le traitement de données personnelles sensibles […] La minorité I (Wermuth) exige un consentement explicite en cas de profilage impliquant un risque élevé pour la personnalité ou les droits fondamentaux”.
Ce n’est toutefois pas ainsi que je peux comprendre ces déclarations. Au contraire, il semble qu’il y ait eu une certaine confusion au sein des Chambres en ce qui concerne le concept de la LPD. Et les voix qui ne partent pas d’une exigence de consentement de principe sont beaucoup plus claires, en particulier celles de la CF Sommaruga :
- BR Sommaruga, AB 2019 N 1788:
“Ni la loi sur la protection des données en vigueur ni le projet du Conseil fédéral n’exigent fondamentalement un consentement pour le traitement de données personnelles ; aucun système dit “opt-in” ne s’applique donc. Pourtant, le consentement joue un rôle important pour les personnes privées qui traitent des données. Le consentement peut en effet servir à justifier un traitement de données portant atteinte à la personnalité. Dans ce cas, le consentement doit remplir différentes conditions : Le consentement doit être donné librement et sans équivoque après une information appropriée ; et si des données personnelles sensibles sont traitées ou si un profilage est effectué, le consentement doit être explicite” ;
- NR Wermuth, AB 2019 N 1785:
“Il s’agit déjà du cas spécial – si vous voulez – dans lequel un consentement est nécessaire. Cela concerne par exemple le consentement au sens de l’article 27, paragraphe 1, sur les motifs de justification des atteintes à la personnalité – lorsque vous consentez à l’atteinte à la personnalité, qui n’en est plus une”.
- SR Fässler (le 23 septembre 2020):
Le règlement de base de l’UE sur la protection des données prévoit que tout traitement de données à caractère personnel est illégal, sauf si la personne concernée a donné son consentement au traitement des données ou s’il existe un autre motif juridique. La conception dans notre droit est inversée. Le traitement des données est en principe autorisé, à moins qu’il n’existe un cas d’exception.
Il ressort également du message que la P‑LPD n’avait pas pour but de s’écarter du système actuel :
Le consentement pour le profilage est également soumis à des exigences accrues, comme c’est déjà le cas dans le droit en vigueur pour le traitement des profils de la personnalité.
Cela devrait être clair :
- Le site Texte de la LPD et de la P‑LPD plaide en faveur du fait que le consentement n’est pas toujours nécessaire pour les données sensibles et le profilage ou le traitement de profils de la personnalité. La disposition déterminante est structurée de la même manière dans les deux cas : “Pour [ou pour] le traitement de [données personnelles sensibles/profils de la personnalité/profilage], le consentement doit être explicite”. C’est différent de “Le traitement de […] requiert un consentement explicite”. et indique clairement qu’une éventuelle exigence de consentement fixée ailleurs est reprise et précisée ici, mais pas statuée.
- De la Systématique il en résulte la même chose à deux égards : premièrement, l’expressivité n’est pas mentionnée – comme d’autres principes d’interdiction, par exemple le traitement contre la volonté de la personne concernée – dans les atteintes à la personnalité (à l’art. 12 LPD ou à l’art. 26 P‑LPD), mais au début, dans les dispositions générales. Deuxièmement, il ressort des dispositions relatives aux justifications (art. 13 LPD et art. 27 P‑LPD) que le consentement est placé sur un pied d’égalité avec les autres motifs de justification. N’autoriser que le consentement pour certains traitements, mais aucun autre motif justificatif, serait étranger à la LPD.
- Le site Historique de la législation montre que l’interdiction du profilage sans consentement a été envisagée, mais n’a pas été reprise dans la loi.
- Les votes dans la Conseil indiquent clairement que les conseils n’ont pas voulu introduire un principe d’interdiction pour le profilage.
Il reste donc que le profilage, qu’il soit à faible ou à haut risque, ne nécessite pas de consentement, à moins qu’il ne viole un principe de traitement.
Inversement, une Consentement requis pour le profilagesi
- un Le principe de traitement n’est pas respecté sera, par exemple
- le principe de transparence (ce qui ne peut toutefois pas être déduit d’une violation du devoir d’information selon l’art. 17 P‑LPD, car l’art. 17 P‑LPD n’est ni un principe de traitement ni une concrétisation du principe de transparence),
- le principe de limitation de la finalité (le profilage en tant que tel n’est pas une finalité, mais une modalité de traitement, un “moyen” de traitement. Celui qui effectue un nouveau profilage dans un but autorisé jusqu’à présent ne viole donc pas le principe de limitation de la finalité),
- le principe de proportionnalité (la proportionnalité étant fonction de la finalité du traitement ; le profilage est donc proportionné dans la mesure où il est adapté et nécessaire à une finalité, même s’il est global – par exemple à des fins de personnalisation du marketing ; la finalité, pour sa part, n’est pas soumise au principe de proportionnalité, mais à celui de la liberté économique) ;
- et en même temps aucun autre motif justificatif existe.