Décisions individuelles automatisées et profilage (nLPD)

Droit du numérique & propriété intellectuelle · Master 1

Décision automatisée, profilage à risque élevé et analyse d'impact selon la nouvelle LPD suisse.

Introduction

Faute de loi générale sur l'IA, la protection des données est en Suisse le premier instrument juridique applicable aux systèmes qui évaluent, classent ou décident à propos de personnes : scoring de crédit, tri de candidatures, tarification personnalisée, détection de fraude. La loi fédérale sur la protection des données révisée (nLPD), en vigueur depuis le 1er septembre 2023, contient des règles spécifiques sur ces traitements.

L'art. 21 nLPD impose au responsable du traitement d'informer la personne concernée d'une décision individuelle automatisée, c'est-à-dire d'une décision prise exclusivement sur la base d'un traitement automatisé et qui a des effets juridiques pour elle ou l'affecte de manière significative. La personne peut faire valoir son point de vue et demander que la décision soit revue par une personne physique, sous réserve d'exceptions. À cela s'ajoutent la notion de profilage, celle de profilage à risque élevé et l'obligation d'établir une analyse d'impact lorsque le risque est élevé (art. 22 nLPD).

Ce deck applique ces règles à des cas d'IA : il s'agit de savoir quand une décision est vraiment « exclusivement » automatisée, quels droits en découlent, et comment un projet d'IA doit documenter ses risques avant son déploiement.

Objectifs d'apprentissage

Qualifier une décision individuelle automatisée au sens de l'art. 21 nLPD
Distinguer profilage et profilage à risque élevé et en tirer les conséquences
Énoncer les droits de la personne concernée : information, prise de position, révision par un humain, accès
Déterminer quand une analyse d'impact est requise (art. 22 nLPD) et ce qu'elle contient
Appliquer ces règles à un cas pratique d'IA (scoring, recrutement, tarification)

Concepts clés

Décision individuelle automatisée: Selon l'art. 21 nLPD, il s'agit d'une décision prise exclusivement sur la base d'un traitement automatisé, qui a des effets juridiques pour la personne concernée ou l'affecte de manière significative. Une intervention humaine purement formelle, sans pouvoir d'appréciation réel, ne suffit en principe pas à exclure la qualification.
Devoirs d'information et droit de révision: Le responsable doit informer la personne d'une telle décision. Sur demande, celle-ci peut présenter son point de vue et exiger que la décision soit revue par une personne physique. Des exceptions existent, notamment lorsque la décision est en lien direct avec la conclusion ou l'exécution d'un contrat et que la demande de l'intéressé est satisfaite, ou lorsque la personne a expressément consenti à la décision automatisée.
Profilage et profilage à risque élevé: Le profilage (art. 5 nLPD) est toute évaluation automatisée de caractéristiques personnelles (situation économique, préférences, comportement, etc.). Le profilage à risque élevé, qui conduit à un appariement permettant d'apprécier des aspects essentiels de la personnalité, est soumis à des exigences accrues, notamment en matière de consentement lorsque celui-ci est requis.
Analyse d'impact relative à la protection des données: L'art. 22 nLPD impose une analyse d'impact lorsque le traitement envisagé peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux, notamment en cas de nouvelles technologies ou de profilage à risque élevé. Elle décrit le traitement, évalue les risques et prévoit les mesures de protection.
Droit d'accès et transparence algorithmique: Le droit d'accès (art. 25 nLPD) porte aussi sur l'existence d'une décision individuelle automatisée et sur la logique sur laquelle elle repose. Le responsable doit fournir des informations compréhensibles, sans pour autant devoir livrer le code source ni les secrets d'affaires.

Conclusion

En l'absence de loi générale sur l'IA, la nLPD fournit un socle concret : transparence sur les décisions automatisées, droit à un réexamen humain, encadrement du profilage et obligation de documenter les risques avant le déploiement. Ces règles s'appliquent dès qu'un système d'IA traite des données personnelles, quelle que soit la technologie utilisée.

Pour le juriste, le travail consiste à qualifier correctement le niveau d'automatisation, à choisir la base juridique du traitement et à organiser un contrôle humain effectif. Une analyse d'impact bien conduite est à la fois un outil de conformité et un moyen de démontrer la diligence du responsable en cas de litige.

Cartes

Qu'est-ce qu'une décision individuelle automatisée au sens de l'art. 21 nLPD ?: Une décision prise exclusivement sur la base d'un traitement automatisé, qui a des effets juridiques pour la personne concernée ou l'affecte de manière significative.
Que doit faire le responsable d'une décision individuelle automatisée ?: Informer la personne concernée de l'existence de la décision et lui permettre, sur demande, de faire valoir son point de vue et d'obtenir un réexamen par une personne physique.
Une décision est-elle « exclusivement » automatisée si un employé la valide sans l'examiner ?: En principe oui : une validation purement formelle, sans pouvoir réel d'appréciation, n'écarte pas la qualification de décision automatisée.
Donnez deux exceptions à l'obligation de permettre la révision par un humain.: La décision est en lien direct avec la conclusion ou l'exécution d'un contrat et la demande de la personne est satisfaite ; ou la personne a expressément consenti à la décision automatisée.
Qu'est-ce que le profilage ?: Toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels (travail, situation économique, santé, préférences, comportement, etc.).
Qu'ajoute la notion de profilage à risque élevé ?: Un profilage qui, par l'appariement de données, permet d'apprécier des aspects essentiels de la personnalité d'une personne physique ; il entraîne des exigences accrues.
Quand une analyse d'impact (art. 22 nLPD) est-elle nécessaire ?: Lorsqu'un traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux, par exemple avec de nouvelles technologies ou un profilage à risque élevé.
Que contient une analyse d'impact ?: La description du traitement envisagé, l'évaluation des risques pour les personnes concernées et les mesures prévues pour les maîtriser.
Que faire si l'analyse d'impact montre un risque élevé résiduel malgré les mesures ?: Le responsable doit consulter le Préposé fédéral à la protection des données et à la transparence (PFPDT), sauf exceptions prévues par la loi.
Quel élément de la décision automatisée la personne peut-elle connaître via le droit d'accès ?: L'existence d'une décision individuelle automatisée et la logique sur laquelle elle se base.
Le responsable doit-il communiquer le code source d'un algorithme de scoring ?: Non : il doit fournir des informations compréhensibles sur la logique, sans devoir divulguer le code ni des secrets d'affaires.
Quelle autorité surveille l'application de la nLPD par les organes privés ?: Le PFPDT, qui peut ouvrir des enquêtes et rendre des décisions administratives, tandis que les infractions sont poursuivies par les autorités pénales cantonales.

Glossaire

Décision individuelle automatisée: Décision prise exclusivement par traitement automatisé, avec effets juridiques ou effets significatifs pour la personne concernée (art. 21 nLPD).
Profilage: Évaluation automatisée de certains aspects personnels à partir de données personnelles pour analyser ou prédire un comportement ou une situation.
Profilage à risque élevé: Profilage qui, par l'appariement de données, permet d'apprécier des aspects essentiels de la personnalité d'une personne physique.
Responsable du traitement: Personne privée ou organe fédéral qui, seul ou avec d'autres, décide des finalités et des moyens du traitement de données personnelles.
Analyse d'impact: Évaluation préalable des risques d'un traitement présentant un risque élevé, accompagnée des mesures prévues pour les réduire (art. 22 nLPD).
Révision humaine: Réexamen d'une décision automatisée par une personne physique ayant un réel pouvoir d'appréciation, que la personne concernée peut exiger.
PFPDT: Préposé fédéral à la protection des données et à la transparence, autorité indépendante de surveillance en matière de protection des données.
Protection des données dès la conception: Obligation de concevoir le traitement de façon à respecter les principes de protection des données dès la planification, avec des paramètres par défaut respectueux de la vie privée.