Out with the old, in with the new : La LPD révi­sée ent­re en vigueur

Aujour­d’hui, 31 août 2023, la longue révi­si­on du droit de la pro­tec­tion des don­nées en Sui­s­se prend pro­vi­so­i­re­ment fin – pro­vi­so­i­re­ment, par­ce qu’il est pré­vi­si­ble que la LPD con­naîtra un destin simi­lai­re à celui de la LCD : elle peut s’ad­ap­ter à tou­tes les deman­des liées aux don­nées et dev­rait donc être com­plé­tée en per­ma­nence. Mais il s’a­git là d’u­ne spé­cu­la­ti­on ; la LPD révi­sée ent­rera en vigueur le 1er sep­tembre à 00h00.

Pour de nombreu­ses ent­re­pri­ses, la pha­se de révi­si­on a signi­fié une réfle­xi­on appro­fon­die sur leur trai­te­ment des don­nées per­son­nel­les et sur les con­di­ti­ons-cad­res orga­ni­sa­ti­on­nel­les inter­nes – natu­rel­le­ment aus­si ou sur­tout dans le con­tex­te du RGPD et d’aut­res déve­lo­p­pe­ments inter­na­ti­on­aux. Des postes plus ou moins indé­pen­dants ont été cré­és (l’in­dé­pen­dance étant moins une que­sti­on d’ab­sence de direc­ti­ves, de con­flits d’in­té­rêts et de lignes de report­ing qu’u­ne que­sti­on de res­sour­ces suf­fi­san­tes per­met­tant aux ser­vices de pro­tec­tion des don­nées d’é­ta­b­lir un cer­tain agen­da au lieu de les can­ton­ner à répond­re à des deman­des inter­nes). Des per­son­nes de cont­act pour la pro­tec­tion des don­nées ont été dési­gnées dans les unités, par exemp­le dans le mar­ke­ting, les res­sour­ces humain­es et les tech­no­lo­gies de l’in­for­ma­ti­on, et les direc­tions ont été infor­mées des ris­ques juri­di­ques, en par­ti­cu­lier des ris­ques pénaux, tant au niveau du front que de la direc­tion et du management.

Les ris­ques juri­di­ques sont à la fois sure­sti­més et sous-esti­més – sous-esti­més par les ent­re­pri­ses qui con­sidè­rent tou­jours la pro­tec­tion des don­nées com­me une impo­si­ti­on et une rest­ric­tion sup­p­lé­men­tai­re de la recher­che légiti­me de pro­fit et qui ne sont pas prêtes à inve­stir dans plus d’u­ne décla­ra­ti­on de con­fi­den­tia­li­té, et sure­sti­més par les ent­re­pri­ses qui craign­ent que même une nég­li­gence pui­s­se ent­raî­ner des sanctions.

Dans l’en­sem­ble, les ris­ques pénaux sont tou­te­fois sure­sti­més. Il n’est guè­re pos­si­ble, par exemp­le, de fai­re appel à un sous-trai­tant sans respec­ter les exi­gen­ces mini­ma­les pré­vues par l’ar­tic­le 9, ali­né­as 1 et 2 LPD, qui sont assor­ties de sanc­tions péna­les. Cel­les-ci décou­lent déjà en gran­de par­tie de tou­te rela­ti­on simi­lai­re à un man­dat en tant qu’ob­li­ga­ti­on acces­soire rele­vant du droit des obli­ga­ti­ons, du moins dans une optique de droit pénal qui ne per­met ni inter­pré­ta­ti­on trop lar­ge ni ana­lo­gie. En ce qui con­cer­ne la sécu­ri­té des don­nées, nous avons déjà expo­séesIl n’y a pas d’e­xi­gen­ces mini­ma­les justi­cia­bles en matiè­re de sécu­ri­té des don­nées dans la DSV. En ce qui con­cer­ne le trans­fert à l’étran­ger, des sanc­tions sont envi­sa­ge­ables si, par exemp­le, des clau­ses con­trac­tu­el­les stan­dard sont oubliées, mais l’o­mis­si­on d’u­ne éva­lua­ti­on de l’im­pact du trans­fert (TIA), par exemp­le, ne peut pas, en soi, don­ner lieu à des sanctions.

Les ris­ques les plus importants sont cer­tai­ne­ment liés à l’ob­li­ga­ti­on d’in­for­mer et au droit d’ac­cès. En ce qui con­cer­ne l’ob­li­ga­ti­on d’in­for­mer, la que­sti­on pré­alable serait de savoir s’il y a vrai­ment coll­ec­te de don­nées per­son­nel­les (car tou­te pro­duc­tion de don­nées n’est pas une coll­ec­te) et si une lacu­ne dans la décla­ra­ti­on de pro­tec­tion des don­nées en est vrai­ment une, car l’in­for­ma­ti­on ne doit por­ter que sur les fina­li­tés et les com­mu­ni­ca­ti­ons qui sont au moins pré­vi­si­bles, sinon pré­vues, lors de la coll­ec­te. De maniè­re géné­ra­le, on peut se deman­der dans quel­le mesu­re les infor­ma­ti­ons doi­vent être détail­lées dans une décla­ra­ti­on de pro­tec­tion des don­nées. Comp­te tenu du droit à l’in­for­ma­ti­on plus éten­du dans le cad­re du droit d’ac­cès, on ne peut cer­tai­ne­ment pas s’at­tendre à des détails exhaus­tifs, même si de nombreu­ses ent­re­pri­ses uti­li­sent des décla­ra­ti­ons de pro­tec­tion des don­nées détail­lées par pru­dence et pour des rai­sons de réputation.

L’ac­ti­vi­té des auto­ri­tés de pour­suite péna­le reste de tou­te façon à voir – mais si l’on pen­se à la pra­tique d’exé­cu­ti­on dans le domaine de la LCD et en par­ti­cu­lier de l’in­ter­dic­tion des spams (on con­naît les décis­i­ons de non-appli­ca­ti­on avec des justi­fi­ca­ti­ons par­fois aven­tu­reu­ses), il ne faut cer­tai­ne­ment pas s’at­tendre à un activisme.

Il ne faut pas non plus s’at­tendre à ce que le PFPDT mène des enquêtes à gran­de échel­le. Cer­tes, il sera sou­mis à une cer­taine pres­si­on pour obte­nir des résul­tats et dev­ra fai­re usa­ge de ses com­pé­ten­ces élar­gies, mais il dev­rait s’im­po­ser une cer­taine rete­nue pour des rai­sons poli­ti­ques, en rai­son de l’i­mage qu’il se fait de lui-même (“pas un régu­la­teur”) et du man­que de ressources.

Les ent­re­pri­ses con­tin­ue­ront à être occu­p­ées par des travaux de mise en œuvre après le 1er sep­tembre, d’u­ne part avec les exi­gen­ces évi­den­tes en matiè­re d’ob­li­ga­ti­on d’in­for­ma­ti­on, mais aus­si avec l’or­ga­ni­sa­ti­on inter­ne et les tâches habi­tu­el­les de longue hal­ei­ne tel­les que le stocka­ge et la sup­pres­si­on des don­nées per­son­nel­les. Une cer­taine char­ge de tra­vail sup­p­lé­men­tai­re sub­si­ste­ra en out­re, par exemp­le dans la col­la­bo­ra­ti­on avec les pre­sta­tai­res de ser­vices et les par­ten­aires, où les cont­rats de pro­tec­tion des don­nées et les négo­cia­ti­ons cor­re­spond­an­tes ont augmenté.

En fin de comp­te, l’in­fluence de la nou­vel­le LPD sur la pra­tique des ent­re­pri­ses dev­rait tou­te­fois rester géra­ble. Même les repré­sen­tants de la bul­le de pro­tec­tion des don­nées savent que le droit de la pro­tec­tion des don­nées n’est pas la seu­le régle­men­ta­ti­on à laquel­le les ent­re­pri­ses sont con­fron­tées. Out­re les régle­men­ta­ti­ons sec­to­ri­el­les, les ent­re­pri­ses doi­vent, selon leur sec­teur d’ac­ti­vi­té, respec­ter les dis­po­si­ti­ons du droit des car­tels, de la lut­te cont­re la cor­rup­ti­on, du droit du blan­chi­ment d’ar­gent, etc.

La révi­si­on est-elle réus­sie ? Oui et non. La nou­vel­le LPD est le résul­tat d’un long bras de fer poli­tique. Cela a des avan­ta­ges et des incon­vé­ni­ents – d’u­ne part, la LPD est moins gou­ver­nan­te que le RGPD. D’aut­re part, de nombreu­ses err­eurs artis­a­na­les de la LPD et du RGPD con­tin­ue­ront d’en­traî­ner une insé­cu­ri­té juri­di­que. Le fait que la punis­sa­bi­li­té soit indi­vi­dua­li­sée et que le choix des obli­ga­ti­ons punis­sa­bles sem­ble arbi­trai­re ne con­tri­bue pas non plus à l’ac­cep­t­ati­on du droit de la pro­tec­tion des don­nées (pour­quoi serait-il punis­sa­ble de trans­fé­rer des don­nées per­son­nel­les vers des pays tiers sans clau­ses con­trac­tu­el­les stan­dard, mais pas de noti­fier une ana­ly­se d’im­pact rela­ti­ve à la pro­tec­tion des don­nées ou la noti­fi­ca­ti­on d’u­ne vio­la­ti­on de la sécu­ri­té des don­nées ?), ou enco­re l’ab­sence d’u­ne appro­che cohé­ren­te de l’éva­lua­ti­on léga­le des ris­ques. Tou­jours est-il que cela laisse aux ent­re­pri­ses la mar­ge de manœu­vre qu’el­les récla­ment tou­jours dans la mise en œuvre de la légis­la­ti­on sur la pro­tec­tion des données.

Ce que le droit de la pro­tec­tion des don­nées ne peut pas chan­ger : La pour­suite du déve­lo­p­pe­ment de la tech­no­lo­gie et sa péné­tra­ti­on dans les moind­res rami­fi­ca­ti­ons de la vie quo­ti­di­en­ne. On ne pour­ra pas se sous­trai­re à l’IA géné­ra­ti­ve, même si on le vou­lait, et il y aurait de bon­nes rai­sons de le fai­re (aucu­ne occa­si­on de délo­ca­li­ser la pen­sée n’a jamais été man­quée). Il est dif­fi­ci­le de pré­voir quels en seront les effets, et ce n’est pas le lieu de spé­cu­ler à ce sujet. Mais une réfle­xi­on s’im­po­se : Les moy­ens uti­li­sés ont un effet en retour ; ce que l’on pos­sè­de nous appar­tient. Une IA qui se pré­tend sem­bla­ble à l’hom­me n’est pas seu­le­ment une IA sem­bla­ble à l’hom­me, mais aus­si un modè­le pour le com­porte­ment humain, com­me l’ont été d’aut­res tech­no­lo­gies fon­da­men­ta­les – Inter­net n’est pas seu­le­ment un lieu de liber­té, mais peut rem­pla­cer le savoir par l’in­for­ma­ti­on et la pen­sée par Goog­ler. Il est donc non seu­le­ment pos­si­ble, mais pro­ba­ble, que tôt ou tard, une IA ne soit plus con­sidé­rée com­me un être humain défi­ci­ent, mais que l’êt­re humain soit con­sidé­ré com­me une IA défi­ci­en­te. Nous nous deman­de­rons par exemp­le s’il faut vrai­ment un droit d’êt­re enten­du par l’hom­me pour les décis­i­ons indi­vi­du­el­les auto­ma­ti­sées ou plutôt un droit d’êt­re enten­du par la machi­ne pour les décis­i­ons humaines.

Le droit de la pro­tec­tion des don­nées n’est tou­te­fois guè­re en mesu­re d’a­bor­der de tel­les que­sti­ons s’il ne veut pas deve­nir enco­re plus la “loi du tout”. Plus que des que­sti­ons phi­lo­so­phi­ques, il exi­ge de l’ar­ti­s­a­nat, un tra­vail con­stant sur le trai­te­ment des don­nées, en quel­que sor­te dans la salle des machi­nes des ent­re­pri­ses, et un chan­ge­ment de com­pré­hen­si­on, pas­sant d’un mal néces­saire à un cad­re tout à fait judi­cieux dans un mon­de numérisé.

Dans ce sens – out with the old, in with the new ! Nous con­tin­ue­rons à accom­pa­gner avec amour le droit de la pro­tec­tion des don­nées sur ce site.