- L’obligation d’information est en premier lieu une obligation de mise à disposition d’informations : mettre à disposition des informations facilement accessibles suffit, une information active n’est nécessaire que dans des cas exceptionnels.
- Interprétation restrictive et conforme à la Constitution : l’obligation d’informer est une atteinte à la liberté économique et doit être limitée en fonction de la proportionnalité.
- L’objet de la protection est un intérêt à l’information des personnes concernées qui n’est digne de protection que s’il dépasse la transparence de base.
- En principe, la mise à disposition d’une déclaration de protection des données sur Internet est suffisante, même en cas de traitement hors ligne, dans la mesure où le traitement et l’emplacement sont reconnaissables.
Le site revDSG (à partir du 1er septembre 2023) prévoit, comme chacun sait, outre le principe de transparence, une obligation d’information renforcée (art. 19). La manière dont ce devoir d’information peut être rempli n’est toujours pas tout à fait claire, raison pour laquelle il vaut la peine d’y regarder de plus près.
Principes d’interprétation pour le respect de l’obligation d’information
Pas d’obligation d’information, mais de mise à disposition d’informations
Il est tout d’abord clair que dans le cadre de l’obligation d’information selon la loi révisée sur la protection des données pas de principe d’accès s’applique. (L’article 13 du RGPD (“Le responsable du traitement doit communiquer les informations […] à la personne concernée”) est erroné à cet égard – il ne faut pas “communiquer”, mais “mettre à disposition”). Cela n’est pas contesté pour autant que l’on puisse voir et est même exprimé dans l’article 13 du RGPD, du moins si l’on considère les exigences suivantes selon cette disposition (“de manière précise, transparente, compréhensible et facile d’accès forme”) ne se réfère pas seulement au contenu et à la présentation de l’information, mais aussi à sa mise à disposition. Il suffit donc de fournir les informations obligatoires de manière facilement accessible.
L’expression “facilement accessible” indique que l’accès – qui doit être facilité – incombe en fin de compte à la personne concernée – elle doit donc participerIl n’a pas besoin d’être informé s’il veut prendre connaissance des informations correspondantes. C’est d’ailleurs ce qui ressort du message :
En revanche, si les données ne sont pas collectées auprès de la personne concernée, le responsable doit examiner la manière dont l’information doit être fournie pour que la personne concernée puisse effectivement en prendre connaissance. Le cas échéant, dans ce cas, il ne suffit pas de fournir des informations, mais la personne concernée doit être activement informée
- car “le cas échéant” signifie qu’il peut très bien suffire de “mettre l’information à disposition” ; le cas échéant seulement et selon les circonstances, cela ne suffit pas.
Dans l’ensemble, l’obligation d’information est donc Obligation de fournir des informations. Le responsable doit créer une possibilité, la personne concernée peut l’utiliser si elle le souhaite, mais elle n’y est pas obligée – il s’agit là aussi d’une expression du droit à l’autodétermination que le droit de la protection des données veut protéger, mais qu’il méprise parfois en le mettant sous tutelle.
Interprétation conforme à la Constitution
Le devoir d’information est une obligation de droit public, contrairement au principe de transparence de droit privé. C’est pourquoi une violation de l’obligation d’informer ne peut pas être justifiée de manière générale, comme une atteinte à la personnalité, par la loi, le consentement ou des intérêts prépondérants, mais uniquement dans le cadre plus rigide de l’art. 20 révLPD.
Cette obligation d’information est considérée comme Atteinte à la liberté économique protégée par l’art. 27 Cst. de l’entreprise. Celle-ci s’applique de manière globale et protège également le libre choix des moyens de production. On pourrait certainement approfondir ce point, qui le mériterait, mais il est évident que l’obligation d’information, souvent difficile à mettre en œuvre, ainsi que les coûts et les dépenses qui en résultent, constituent une ingérence dans le domaine protégé par l’art. 27 Cst. Cette ingérence est à l’aune de l’art. 36 Cst.notamment le principe de proportionnalité. Il ne doit donc pas aller au-delà de ce qui est nécessaire. Cela n’apporte pas grand-chose à l’application pratique, il est vrai – certaines exigences concrètes ne peuvent être ni prouvées ni réfutées -, mais cela montre qu’une interprétation large de l’obligation d’information doit être particulièrement justifiée de ce point de vue également.
Il faut également tenir compte de la Punissabilité d’une violation intentionnelle de l’obligation d’information selon l’article 60, alinéa 1, lettre b de la loi révisée sur la protection des données. Pour les normes qui sont à la fois de nature civile et pénale, on procède en pratique à une interprétation restrictive fondée sur le droit constitutionnel ; c’est le cas par exemple de l’art. 3 al. 1 let. a LCD (dénigrement ; c’est pourquoi on exige ici une “gravité particulière” du dénigrement) – voir par exemple 6S.858/1999. Selon la jurisprudence, cette interprétation restrictive s’applique ensuite de manière générale, et pas seulement lorsque la norme correspondante est appliquée en tant que droit pénal, afin d’éviter une scission des normes. C’est également pour cette raison que l’obligation d’information doit être interprétée de manière restrictive dans son ensemble, en particulier la clause générale qu’elle contient (mais bien entendu aussi la manière dont elle est remplie).
Cela soulève la question de savoir si la clause générale devient ainsi lettre morte. Ce serait certes souhaitable en soi, mais ce serait une conclusion exagérée. Une interprétation restrictive n’exclut pas a priori, dans des cas exceptionnels, d’inclure une information particulière dans la clause générale. Il ne peut toutefois s’agir que de cas exceptionnels.
Protection d’un seul intérêt d’information digne de protection
L’obligation d’information sert ensuite à Intérêt des personnes concernées à être informées. C’est ce qui ressort des documents mentionnés, mais aussi de la réglementation d’exception de l’article 20 de la loi révisée sur la protection des données : selon celle-ci, une pesée des intérêts peut justifier une limitation de l’obligation d’informer (une pesée des intérêts dans un cas particulier ou une pesée des intérêts anticipée, générale et abstraite, par le législateur). Il s’agit donc essentiellement de protéger cet intérêt à l’information.
Maintenant, il faut un intérêt à protéger pour être protégé par l’ordre juridique. Un intérêt à l’action d’autrui n’est digne de protection que dans la mesure où l’on ne peut raisonnablement exiger de lui qu’il agisse lui-même. C’est une exigence de la logique et d’un ordre libéral, mais cela correspond manifestement aussi à la compréhension du législateur.
Dans ce contexte, le Différence entre le principe de transparence et l’obligation d’information doivent être prises en compte. Le législateur a certes estompé cette distinction en introduisant une clause générale dans l’obligation d’information, mais les deux ne sont pas pour autant la même chose :
Le responsable doit de toute façon assurer une transparence de base. L’obligation d’information vient donc s’ajouter comme deuxième niveau. Un besoin fondamental d’information est ainsi déjà satisfait au premier niveau et l’obligation d’information ne sert qu’à un seul niveau. plus approfondie besoin d’information. Le législateur peut certes simuler un tel besoin d’information plus étendu en introduisant une obligation générale d’information, mais l’interprétation doit néanmoins tenir compte du fait que l’obligation d’information ne peut plus avoir pour mission de couvrir les besoins fondamentaux en matière d’information. De ce point de vue également, on peut exiger un peu plus de la personne concernée.
On pourrait objecter que l’obligation d’information n’est pas un complément, mais une concrétisation de l’obligation de transparence. Par conséquent, elle ne va pas au-delà du besoin fondamental de transparence, mais le définit seulement. Cela rendrait caduc l’argument précédent. Cette interprétation est toutefois en contradiction avec deux considérations :
- Le principe de transparence n’aurait plus de signification autonome s’il était absorbé par l’obligation d’information.
- Une obligation d’information, qui est une concrétisation du principe de transparence, devrait, tout comme ce dernier, également s’appliquer au sous-traitant, qui doit également respecter les principes de traitement, et c’est précisément ce que le RGPD a laissé tomber, contrairement à l’E-VDSG.
En conséquence, l’obligation d’information est un complément au principe de transparence, qui va au-delà de celui-ci et qui est donc soumis à des exigences plus élevées.
Résultat intermédiaire
Les considérations qui précèdent permettent de conclure que les Interpréter de manière restrictive les exigences relatives au respect de l’obligation d’information sont des raisons de fond. En résumé, cette conclusion repose sur trois raisons ; la première découle de l’objectif même de la norme et les autres d’une interprétation conforme à la Constitution :
- L’obligation d’information ne protège que l’intérêt légitime des personnes concernées à être informées, qui va au-delà de la transparence de base, ce qui suggère une certaine retenue dans l’interprétation.
- Lorsqu’il est appliqué en tant que norme pénale, le principe de légalité pénale, fondé sur le droit constitutionnel, exige une retenue particulière ou une “interprétation fondamentalement restrictive”.
- Elle constitue une atteinte à la liberté économique. Le principe de proportionnalité exige de la limiter au strict nécessaire.
Il est donc contraire au système de dire dans le message que les exceptions de l’article 20 de la LPD révisée doivent être interprétées de manière stricte. Ces “exceptions” ne sont pas des exceptions en soi, mais le correctif nécessaire à une obligation potentiellement trop large du responsable. De toute façon, le topos selon lequel les dispositions d’exception doivent être interprétées de manière restrictive en général est méthodologiquement erroné – une exception a la portée que le législateur lui a attribuée, et celle-ci doit être déterminée par les principes d’interprétation habituels.
Exigences relatives à l’obligation d’information en cas de rupture de média
Transparence de base sur le traitement comme exigence minimale
En particulier lorsqu’un traitement de données n’est pas effectué en ligne, mais qu’une personne concernée se connecte à un site web. hors ligne La question se pose de savoir comment l’informer.
Il est judicieux, même dans de telles situations, de réfléchir à une Site web pour plusieurs raisons : D’une part, cette forme est relativement simple et possible sans trop d’efforts ni de coûts élevés, et d’autre part, elle correspond désormais probablement aux attentes et, par expérience, à la pratique (également à celle concernant la révision de la LPD). En Suisse en particulier, il est plutôt inhabituel d’informer sur l’obtention d’informations dans un contexte hors ligne (contrairement à l’Allemagne, par exemple, où l’on peut trouver des déclarations de protection des données au dos des tickets de caisse), alors qu’il est généralement connu que l’on trouve des informations sur la protection des données sur les sites web.
Le rapport explicatif de la DSV donne une indication à ce sujet :
Il convient […] de noter que la La communication via un site web ne suffit pas toujoursLa personne concernée doit savoir que elle trouve les informations sur un site web spécifique
C’est bien sûr exact. Celui qui ne sait pas qu’un responsable donné traite des données personnelles n’a aucune raison de visiter son site web. Il en résulte qu’au moins une chose est nécessaire : le Savoir ou devoir savoirLes données personnelles sont traitées par un responsable déterminé.
Toutefois, le responsable du traitement n’est pas tenu d’informer expressément la personne concernée de son traitement et de son site web lorsque la personne concernée peut déduire des circonstances que des données personnelles sont traitées à son sujet et où elle peut trouver des informations à ce sujet. Et ce pour plusieurs raisons : Premièrement, comme indiqué ci-dessus, l’obligation d’information ne peut pas aller au-delà de ce qui est nécessaire pour permettre à la personne concernée de prendre raisonnablement connaissance de la déclaration de protection des données. Deuxièmement, l’obligation d’information complète la transparence, qui n’exige pas plus que le fait qu’un traitement de données soit reconnaissable au vu des circonstances. Pour rester dans l’exemple : La transparence permet de constater que le responsable traite des données personnelles (en supposant que ce soit le cas dans un cas concret), et l’obligation d’information qui s’ensuit exige de fournir les informations obligatoires de manière raisonnable.
Cette compréhension ne vide pas de son sens l’obligation d’informer, car elle garantit que la personne concernée puisse au moins trouver les informations mentionnées à l’art. 19 révLPD. L’exemple du message est ici bien choisi :
Le cas échéant, il ne suffit pas, dans ce cas, de fournir simplement des informations, mais la personne concernée doit être activement informée, que ce soit sous une forme générale appropriée ou par une information individuelle. Par exemple, une personne qui n’achète jamais de livres, visite à peine le site web d’un libraire en ligne et lit sa déclaration de confidentialité. Par conséquent, cette déclaration générale ne lui permettra pas de savoir que le libraire en ligne traite des données la concernant, car elle ne s’y attend pas.
L’idée susmentionnée y est clairement exprimée : si la personne concernée doit s’attendre à ce qu’un libraire traite ses données – ce à quoi le responsable doit veiller conformément au principe de transparence, comme indiqué -, il suffit de mettre les informations à disposition sur Internet. Ainsi, celui qui achète un livre dans la très recommandable librairie Paranoia City, soit ne fait pas traiter ses données personnelles, soit sait qu’il lui suffit de taper “paranoia city” sur Google pour accéder à la librairie. https://paranoiacity.ch où il trouvera sans aucun doute une déclaration de confidentialité à l’avenir.
Il convient donc de noter que il suffit de mettre à disposition sur Internet une déclaration de protection des données si la personne concernée sait ou doit savoir qu’elle y trouvera des informations sur la protection des données. Pour ce faire, le responsable ne doit pas mentionner explicitement son identité (il suffit par exemple que le domaine corresponde à la société ou à l’enseigne), ni faire activement référence au site Internet.
Il faut donc aussi rejeter l’opinion selon laquelle il faut une première indication, un lien explicite et peut-être même un Code QRIl s’agit d’un système qui permet d’informer sur Internet d’un traitement effectué hors ligne. Cette opinion ne tient pas compte des considérations ci-dessus.
Aujourd’hui, il n’est plus nécessaire de taper une URL pour accéder à une page web – on peut tout aussi bien saisir des termes appropriés dans le champ de recherche. Aucune statistique n’est disponible à ce sujet, mais on peut supposer que c’est le moyen préféré de nombreux utilisateurs pour accéder à un site web. On peut douter que cela prenne plus de temps que de scanner un code QR, pour lequel il faut lancer l’application Appareil photo et cliquer ensuite sur le lien, et cela n’aurait en tout cas pas d’importance.
On peut rétorquer qu’un code QR est plus fiable, c’est-à-dire qu’il a plus de chances de mener à la bonne destination, et que son existence même indique explicitement un site sur Internet, mais ce dernier point n’est pas obligatoire selon l’opinion défendue ici. De plus, avec un code QR, l’utilisateur ne peut pas toujours voir le lien qu’il visite en le scannant, ce qui soulève des questions de sécurité.
Il existe d’ailleurs déjà des cas, selon le droit actuel, où une information active est nécessaire parce que la reconnaissabilité ne peut pas être établie autrement. Ici, se demande aujourd’hui déjà si une information sur Internet est suffisante. Le PFPDT a toutefois admis à plusieurs reprises que les indications nécessaires ne sont publiées que sur Internet, même dans le cas de traitements qui ne sont pas sans risque et qui concernent un grand nombre de personnes.
Le site Commissaire à la protection des données Zurich de son côté, a même précisé, pour les organes publics, qu’une DSE sur Internet pouvait remplir l’obligation d’information (en Guide de la vidéosurveillance de novembre 2020 – et à l’époque, l’obligation d’information active du § 12 IDG ZH était déjà en vigueur) :
[…] la vidéosurveillance […] doit être signalée au public au moyen d’indications si elle n’est pas manifestement reconnaissable pour les personnes concernées. Les panneaux d’information doivent en principe être placés là où ils sont accessibles et bien visibles pour les personnes concernées. Le contenu des panneaux d’information dépend des circonstances sur place, un pictogramme (symbole de caméra, œil) suffit en principe. En cas de besoin peuvent être des informations supplémentaires sont fournies, comme l’organe compétent, un numéro de téléphone ou l’endroit où trouver le règlement de vidéosurveillance correspondant.
Dans le cas de la vidéosurveillance en particulier, il suffit donc de signaler la surveillance en tant que telle. Le PFPDT s’est déjà exprimé dans ce sens, dans les Lignes directrices d’avril 2014 :
Les responsables de la vidéosurveillance doivent munir toutes les personnes qui entrent dans le champ de prise de vue des caméras d’un un panneau d’information bien visible informer sur le système de surveillance. Si les images enregistrées sont liées à un fichier (si elles sont donc stockées sous une forme ou une autre), il faut également l’indiquer, auprès de qui le droit d’accès peut être exercé peut être fait, si cela ne résulte pas des circonstances (principe de la bonne foi et droit à l’information).
On peut se demander s’il ne suffit pas que les caméras et leur zone de prise de vue soient reconnaissables, même sans pictogramme, mais on ne pourrait répondre par l’affirmative qu’avec réticence. On peut sans doute exiger une information au moyen d’un pictogramme, notamment parce qu’il s’agit d’une pratique courante.
Internet est suffisamment répandu
Aujourd’hui, Internet fait partie de l’équipement de base. Cela ne fait aucun doute. La couverture réseau pour les données mobiles est presque complète, et apparemment il y avait en Suisse en 2019 environ 1,26 abonnement mobile par habitant. Un Étude sur le Liechtenstein pour 2019 a révélé qu’environ 95% des habitants utilisent Internet au moins occasionnellement. Sans vouloir paraître cynique : Le panier de la CSIAS compte également pour les besoins de base 8,8% de frais pour la transmission de messages, Internet et la radio/TV. On ne peut nier qu’un pourcentage de personnes reste exclu lors d’une information sur Internet, mais c’est inévitable – il y a toujours des personnes qui, pour diverses raisons, ne sont pas en mesure d’utiliser un certain média. Cela doit être accepté, non pas parce que ces personnes ne jouent aucun rôle, mais parce que l’obligation d’information s’oriente vers le grand public.
D’autres dispositions montrent que le législateur part lui aussi du principe qu’Internet peut être utilisé de manière générale, par exemple le fait que, pour les lois fédérales, c’est la version publiée sur Internet qui fait foi (art. 1a et art. 15 LPubl), mais aussi l’art. 27, al. 2 de la nouvelle OLPD, selon lequel les organes fédéraux publient les coordonnées du conseiller à la protection des données “sur Internet”.
De ce point de vue également, l’information sur Internet peut donc suffire.
Mesures favorisant la transparence
Selon les circonstances, il peut toutefois être indiqué de fournir des informations supplémentaires et allant au-delà du standard minimal. Cela peut être utile dans les situations où une information ne peut pas être facilement consultée sur Internet. Cela peut concerner les cas où une personne ne peut pas lire tranquillement une déclaration de protection des données pour des raisons de temps. Un exemple serait l’entrée dans une zone surveillée par des caméras vidéo. Toutefois, une déclaration de confidentialité sur Internet présente des avantages dans ce cas, car une Déclaration de confidentialité rédigée ici de cette manière que les informations essentielles soient visibles d’un seul coup d’œil, par exemple grâce à un résumé, à une table des matières reliée par un lien, à des textes dépliants, à des indications résumant les différents chapitres, etc. La variante avec des textes dépliables (harmonica) ne peut justement pas être mise en œuvre hors ligne.
Dans un tel cas, il faudrait toutefois aussi compter avec un Panneau d’information avec informations de base (comme l’exigent les autorités allemandes, par ex. le BayLDA), à moins que ce panneau ne contienne déjà toutes les informations obligatoires selon l’art. 19 de la loi révisée sur la protection des données. Pour en rester à l’exemple de la vidéosurveillance : Celui qui entre dans une surface de vente d’un grand distributeur voit – supposons-le – un symbole de caméra en entrant, et l’identité du responsable est également évidente. L’endroit où se trouvent les informations relatives à la protection des données est donc également clair.
Dans certains cas, il peut toutefois être utile de se rendre sur place pour une tenir à disposition une déclaration de confidentialité impriméeIl peut être remis ou imprimé sur demande. Il est toutefois raisonnable d’exiger de la personne concernée qu’elle le demande si le traitement est reconnaissable en tant que tel (ce qui, comme nous l’avons dit, doit de toute façon être garanti).
Résultat
L’obligation générale d’information est une grande nouveauté de la LPD révisée. Elle doit notamment garantir la transparence, également en tant que condition de base des droits des personnes concernées. Elle vient donc s’ajouter à l’obligation générale de transparence en tant que principe de traitement.
Elle doit donc répondre à un besoin d’information. Inversement, cela signifie également que seul un besoin d’information réel doit être protégé. Il en résulte notamment que la personne concernée doit être en mesure d’entreprendre ses propres démarches si elle souhaite prendre effectivement connaissance des informations relatives à la protection des données.
Il s’ensuit, mais aussi de considérations d’ordre constitutionnel, que le responsable doit fournir des informations peut en principe mettre à disposition sur InternetLa loi sur la protection des données prévoit une obligation de déclaration. Il est seulement exigé, mais tout de même, que le traitement des données soit reconnaissable en tant que tel et, en outre, qu’il ressorte au moins des circonstances où la personne concernée peut trouver une déclaration de protection des données. En revanche, il n’est pas possible d’exiger du responsable qu’il renvoie expressément la personne concernée à son site internet ou même qu’il mette à sa disposition un code QR.