# Droits des personnes concernées et devoir d'informer Droit du numérique & propriété intellectuelle · Bachelor 3 > Devoir d'informer, droit d'accès, rectification, effacement et portabilité selon la LPD. ## Introduction La LPD révisée renforce la maîtrise que les personnes concernées exercent sur leurs données. Elle distingue le devoir d'informer, que le responsable doit remplir spontanément au moment de la collecte, et les droits que la personne peut faire valoir sur demande : accès aux données, rectification, effacement ou opposition, remise ou transmission des données dans un format électronique courant. Ces droits constituent le versant individuel du régime de protection, à côté de la surveillance exercée par le PFPDT. Le devoir d'informer porte au minimum sur l'identité et les coordonnées du responsable, la finalité du traitement et, le cas échéant, les destinataires ou les États vers lesquels des données sont communiquées. Il connaît des exceptions, notamment lorsque la personne dispose déjà de l'information ou que l'information est impossible ou exige des efforts disproportionnés. Le droit d'accès, lui, permet à toute personne de demander si des données la concernant sont traitées et d'obtenir les informations nécessaires pour faire valoir ses droits et garantir la transparence ; il est en principe gratuit et la réponse doit être donnée dans les 30 jours. Lorsque le responsable refuse, restreint ou diffère l'accès, il doit motiver sa décision, et les restrictions admises (intérêts prépondérants de tiers, secrets d'affaires, droit du travail, etc.) sont interprétées de manière stricte. La personne lésée peut agir devant le juge civil sur la base des règles de protection de la personnalité, dans une procédure facilitée pour le droit d'accès, qui est en principe exempt de frais judiciaires, et le non-respect de certains devoirs d'information peut être sanctionné pénalement. ## Objectifs d'apprentissage - Décrire le contenu minimal et les exceptions du devoir d'informer - Expliquer la portée, les délais et les limites du droit d'accès - Distinguer rectification, effacement, opposition et portabilité - Qualifier une décision individuelle automatisée et les droits qui y sont attachés - Identifier les voies d'action civiles et pénales ouvertes à la personne concernée ## Concepts clés - **Devoir d'informer** : Le responsable informe de manière adéquate sur la collecte de données personnelles, même indirecte. L'information indique au minimum son identité, la finalité et les destinataires éventuels ; des informations supplémentaires sont requises en cas de communication à l'étranger ou de décision automatisée. - **Droit d'accès** : Toute personne peut demander au responsable si des données la concernant sont traitées et recevoir les informations nécessaires. La réponse est en principe gratuite, fournie dans un délai de 30 jours, et peut être restreinte seulement dans les cas prévus par la loi, avec motivation. - **Rectification, effacement et opposition** : La personne peut exiger la rectification de données inexactes, l'effacement de données traitées illicitement et s'opposer à un traitement particulier ou à une communication à des tiers. Le responsable ne peut s'y soustraire que s'il invoque un motif justificatif. - **Remise et transmission des données** : Pour des données traitées de manière automatisée avec consentement ou en lien direct avec un contrat, la personne peut obtenir leur remise dans un format électronique courant ou leur transmission à un autre responsable, sauf effort disproportionné. - **Décision individuelle automatisée** : Lorsqu'une décision est prise exclusivement sur la base d'un traitement automatisé et a des effets juridiques ou des conséquences notables, le responsable doit en informer la personne et lui permettre de faire valoir son point de vue et d'exiger un examen par un être humain. ## Conclusion Les droits d'accès, de rectification, d'effacement, d'opposition et de portabilité traduisent le principe de transparence : la personne concernée doit pouvoir savoir ce qui se passe avec ses données et agir en conséquence. Le devoir d'informer, exercé spontanément, en est le complément indispensable. En pratique, la gestion de ces demandes suppose des procédures internes claires, des délais maîtrisés et une capacité à motiver tout refus. Les restrictions admises sont exceptionnelles, et la voie judiciaire ainsi que la surveillance du PFPDT offrent des leviers concrets en cas de manquement. ## Cartes ### Quel est le contenu minimal du devoir d'informer ? L'identité et les coordonnées du responsable, la finalité du traitement et, le cas échéant, les destinataires ou catégories de destinataires des données. ### Le devoir d'informer s'applique-t-il aussi si les données ne sont pas collectées auprès de la personne ? Oui. Le responsable informe aussi en cas de collecte indirecte, au plus tard lors de la communication des données ou dans un délai d'un mois après leur obtention. ### Citez une exception au devoir d'informer. La personne dispose déjà de l'information, le traitement est prévu par la loi, ou l'information s'avère impossible ou nécessite des efforts disproportionnés. ### Dans quel délai le responsable doit-il répondre à une demande d'accès ? Dans les 30 jours à compter de la réception de la demande, sauf prolongation motivée. ### Le droit d'accès est-il payant ? En principe non. Une participation aux frais d'un montant maximal de CHF 300 peut être exigée à titre exceptionnel, par exemple en cas d'efforts très importants. ### Quelles informations la personne reçoit-elle avec le droit d'accès ? Les données traitées en tant que telles, la finalité, la durée de conservation ou les critères pour la fixer, l'origine des données, l'existence d'une décision automatisée et les destinataires. ### Le droit d'accès peut-il être restreint ? Oui, notamment si une loi le prévoit, si les intérêts prépondérants d'un tiers l'exigent ou, sous conditions, si ceux du responsable le justifient. Le responsable doit motiver sa décision. ### Que peut obtenir une personne dont les données sont inexactes ? Leur rectification, sauf si une disposition légale l'interdit ou si les données sont traitées à des fins archivistiques d'intérêt public. ### Que signifie le droit à la portabilité en droit suisse ? Le droit d'obtenir ses données dans un format électronique courant ou de les faire transmettre à un autre responsable, pour les traitements automatisés fondés sur le consentement ou sur un contrat. ### Qu'est-ce qu'une décision individuelle automatisée ? Une décision prise exclusivement sur la base d'un traitement automatisé, avec effet juridique ou conséquence notable pour la personne, comme un refus de crédit en ligne sans intervention humaine. ### Sur quelle base la personne concernée agit-elle en justice contre un traitement illicite ? Sur les dispositions du Code civil relatives à la protection de la personnalité, par renvoi de la LPD, notamment pour faire interdire un traitement, ordonner l'effacement ou faire constater l'illicéité. ### Existe-t-il un droit à l'oubli distinct dans la LPD ? Il n'y a pas de droit à l'oubli autonome ; il découle de la possibilité d'exiger l'effacement ou de s'opposer au traitement, en pondération avec les intérêts opposés comme la liberté d'information. ## Glossaire - **Droit d'accès** : Droit de toute personne de savoir si des données la concernent sont traitées et d'obtenir les informations nécessaires à la transparence et à l'exercice de ses droits. - **Devoir d'informer** : Obligation du responsable de communiquer spontanément à la personne concernée les informations essentielles sur la collecte et le traitement de ses données. - **Portabilité des données** : Droit d'obtenir ou de faire transmettre ses données dans un format électronique courant, afin de faciliter le changement de prestataire. - **Effacement** : Suppression de données traitées illicitement ou dont la conservation n'est plus justifiée, que la personne peut exiger sous réserve de motifs justificatifs. - **Opposition** : Faculté de la personne de s'opposer à un traitement particulier ou à la communication de ses données à des tiers. - **Décision individuelle automatisée** : Décision prise sans intervention humaine, produisant des effets juridiques ou des conséquences notables ; la personne peut exiger de faire valoir son point de vue et un examen humain. - **Déclaration de confidentialité** : Document publié par le responsable qui informe sur ses traitements et remplit en pratique le devoir d'informer. https://ruvy.ch/decks/-P5CYMs2iGtXdx7HYits