- Le profilage à haut risque suppose un profil de la personnalité et doit être évalué au cas par cas en fonction de l’utilisation et des circonstances concrètes.
- L’art. 5, let. g, de la loi révisée sur la protection des données exige en premier lieu une DSFA ; cela constate un risque brut élevé, mais pas automatiquement un risque net élevé.
- L’omission de la DSFA viole des obligations, mais ne modifie pas la charge de la preuve : le risque (net) réel doit être prouvé par le demandeur.
Le nouveau “profilage à haut risque” selon l’article 5, lettre g revDSG soulève quelques questions, notamment sur ce que la loi entend par risque élevé et sur les conséquences d’un tel profilage.
Le profilage à haut risque est défini comme suit :
le profilage qui comporte un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, en ce sens qu’il aboutit à la mise en relation de données permettant d’évaluer des aspects essentiels de la personnalité d’une personne physique ;
Il s’agit donc en substance d’un profilage (au sens de l’art. 5, let. f, LPD révisée) qui conduit à un profil de la personnalité. En ce qui concerne le profil de la personnalité selon la LPD actuelle, il est toutefois reconnu que l’existence d’un profil de la personnalité ne peut pas être évaluée de manière abstraite, mais en fait seulement lors de l’utilisation concrète et en tenant compte de l’utilisation dans le cas particulier, par exemple selon le Arrêt du TAF dans l’affaire Moneyhouse:
Pour savoir si une compilation de plusieurs données relatives à une personne donnée permet d’établir un profil de la personnalité, il faut d’une part tenir compte de la quantité et du contenu des informations personnelles, en d’autres termes savoir si et dans quelle mesure ces informations permettent de porter des jugements de valeur sur la personne concernée. Il convient en outre de faire une distinction en fonction de la dimension temporelle des informations. Les données personnelles qui sont collectées sur une longue période et qui donnent ainsi en quelque sorte une image biographique en montrant une évolution, un parcours de la personne concernée, doivent plutôt être qualifiées de profil de la personnalité que les données qui ne représentent qu’un simple instantané. En outre le contexte concret dans lequel les données sont utilisées sera, dans certaines circonstances, déterminant pour savoir si la protection légale qualifiée doit s’appliquer ou non. La notion de profil de la personnalité ne peut donc pas être définie de manière générale, mais doit être acceptée ou refusée au cas par cas sur la base des circonstances concrètes. (JAAC 65.48 consid. 2.b).
Selon moi, cela doit également s’appliquer au profilage à haut risque. Par conséquent, il ne peut y avoir de profilage à haut risque que si son résultat est utilisé ou doit être utilisé dans un cas concret d’une manière qui ne porte pas atteinte à la vie privée. justifie une protection qualifiée. En outre, un profilage ne peut jamais être un “profilage à haut risque” s’il ne conduit pas à un profilage de la personnalité. Si un profilage entraîne un risque élevé pour d’autres raisons, il convient de procéder à une AIPD, mais il ne s’agit en aucun cas d’un “profilage à haut risque” exigeant par exemple un consentement explicite (pour autant qu’un consentement soit nécessaire dans un cas concret).
De plus, le “risque élevé” au sens de l’art. 5, let. g, de la loi révisée sur la protection des données signifie tout d’abord qu’un effectuer la DSFA n’est pas le cas. Cela ne préjuge pas du résultat de la DSFA ; celle-ci peut très bien révéler qu’il n’y a pas de risque élevé dans le cas concret. Le “risque élevé” dans le profilage à haut risque n’est donc qu’un risque élevé. Risque brut. En revanche, les autres conséquences juridiques du profilage à haut risque (le consentement éventuellement requis doit être explicite ; il peut être nécessaire de désigner un représentant en Suisse) ne s’appliquent que lorsque le le risque réel (le risque net) est effectivement élevé dans le cas concret.
Dans ce contexte, les Conséquences d’une absence de DSFA important : si le responsable du traitement omet de procéder à une DSFA alors qu’il existe un profilage à haut risque, il devrait certes violer l’obligation correspondante. Toutefois, comme c’est le risque réel (net) qui est déterminant pour les autres conséquences juridiques du profilage à haut risque – c’est-à-dire en dehors de la DSFA -, le responsable peut invoquer ce faible risque net même en dehors d’une DSFA ; l’omission de la DSFA ne le prive pas de ce moyen de défense. Ensuite, la preuve du risque net élevé incombe à l’auteur de la réclamation, conformément à la règle générale de l’article 8 du Code civil, car l’article 5, lettre g, de la loi révisée sur la protection des données indique certes un risque brut élevé, mais ne contient aucune présomption ou autre renversement du fardeau de la preuve pour le risque net.