Données personnelles et organes publics : base légale et principes

Droit public & constitutionnel · Bachelor 3

Base légale, finalité et proportionnalité du traitement de données par l'État suisse.

Introduction

Lorsque l'État collecte, conserve ou transmet des informations sur les personnes (registres des habitants, dossiers fiscaux, dossiers sociaux, fichiers de police), il porte atteinte à un droit fondamental : la protection contre l'emploi abusif de données personnelles, garantie par l'art. 13 al. 2 Cst. et, au niveau international, par l'art. 8 CEDH. Contrairement à un acteur privé, l'administration agit en vertu d'une compétence publique : son traitement de données doit donc respecter les conditions générales de restriction des droits fondamentaux de l'art. 36 Cst., c'est-à-dire une base légale, un intérêt public et la proportionnalité.

Le droit suisse est fragmenté. La loi fédérale sur la protection des données (LPD), entièrement révisée et entrée en vigueur le 1er septembre 2023, régit le traitement par les personnes privées et par les organes fédéraux. Les organes des cantons et des communes relèvent en revanche de lois cantonales de protection des données (et, selon les cantons, de l'information), qui reprennent des principes comparables mais pas identiques. La surveillance est assurée, au niveau fédéral, par le Préposé fédéral à la protection des données et à la transparence (PFPDT) et, dans les cantons, par un préposé ou une autorité équivalente.

Ce deck se concentre sur la logique propre au secteur public : l'exigence de base légale, la distinction selon la sensibilité des données, les principes de finalité et de proportionnalité, et les règles encadrant la communication de données entre autorités. Ces notions sont régulièrement mobilisées dans les examens de droit public comme dans la pratique des administrations cantonales.

Objectifs d'apprentissage

Situer la protection des données dans l'art. 13 Cst. et dans le régime de restriction de l'art. 36 Cst.
Distinguer le champ d'application de la LPD fédérale et celui des lois cantonales de protection des données
Expliquer pourquoi un organe public a besoin d'une base légale et quand une base légale formelle est exigée
Appliquer les principes de finalité, de proportionnalité et d'exactitude à un traitement de données étatique
Analyser les conditions de la communication de données personnelles entre autorités

Concepts clés

Droit fondamental à l'autodétermination informationnelle: L'art. 13 al. 2 Cst. protège toute personne contre l'emploi abusif de données qui la concernent. La jurisprudence en déduit un droit de savoir qui traite quelles informations et dans quel but. Toute collecte étatique est une atteinte soumise à l'art. 36 Cst.
Exigence de base légale: Un organe fédéral ne peut en principe traiter des données personnelles que si une base légale le prévoit. Pour les données sensibles (santé, opinions politiques, poursuites pénales, aide sociale) et pour le profilage à risque élevé, une base légale au sens formel (loi adoptée par le Parlement, sujette au référendum) est en règle générale requise.
Finalité et proportionnalité: Les données ne peuvent être collectées que pour une finalité déterminée et reconnaissable, puis traitées de manière compatible avec elle. Seules les données nécessaires et aptes à atteindre le but sont traitées, et elles sont détruites ou anonymisées lorsqu'elles ne sont plus utiles.
Répartition fédérale-cantonale: La LPD s'applique aux organes fédéraux et aux privés. Les cantons légifèrent pour leurs propres autorités et pour les communes. Un même citoyen peut ainsi relever de plusieurs régimes selon l'autorité qui détient ses données.
Communication entre autorités: L'échange de données entre administrations n'est pas libre : il suppose une base légale, ou à défaut une nécessité pour accomplir une tâche légale, et respecte la finalité initiale. Une procédure d'appel (accès en ligne) exige une base légale expresse lorsque des données sensibles sont concernées.

Conclusion

La protection des données dans le secteur public applique à l'information le schéma classique du droit des libertés : toute collecte, conservation ou communication par l'État est une atteinte à l'art. 13 al. 2 Cst., qui doit reposer sur une base légale, poursuivre un intérêt public et rester proportionnée. La sensibilité des données détermine le niveau de la base légale, tandis que la finalité encadre la réutilisation et la communication entre autorités.

Pour le juriste, la difficulté pratique tient à la superposition des régimes : LPD pour la Confédération, lois cantonales pour les cantons et communes, lois spéciales pour la police, la santé ou les assurances sociales. Identifier d'abord l'autorité, puis la base légale applicable, reste le premier réflexe à acquérir.

Cartes

Quelle disposition de la Constitution fédérale protège contre l'emploi abusif de données personnelles ?: L'art. 13 al. 2 Cst., qui s'inscrit dans la protection de la sphère privée de l'art. 13 al. 1 Cst. et complète l'art. 8 CEDH.
À quelles conditions l'État peut-il restreindre le droit à la protection des données ?: Selon l'art. 36 Cst. : base légale (formelle si la restriction est grave), intérêt public ou protection d'un droit fondamental d'autrui, proportionnalité, et respect de l'essence du droit.
Qui est soumis à la LPD fédérale dans le secteur public ?: Les organes fédéraux (administration fédérale et personnes chargées de tâches fédérales). Les organes cantonaux et communaux relèvent des lois cantonales de protection des données.
Quand la LPD est-elle entrée en vigueur dans sa version totalement révisée ?: Le 1er septembre 2023 (nLPD), notamment pour adapter le droit suisse au règlement européen et à la Convention 108 du Conseil de l'Europe modernisée.
Pourquoi un organe public ne peut-il pas fonder un traitement de données sur le seul consentement de la personne ?: Parce que l'administration agit selon le principe de légalité : sa compétence doit résulter d'une base légale. Le consentement peut compléter une base légale, mais ne la remplace en principe pas.
Quelles données exigent en principe une base légale formelle ?: Les données sensibles (santé, sphère intime, opinions religieuses ou politiques, mesures d'aide sociale, poursuites pénales ou administratives) et le profilage à risque élevé.
Qu'est-ce que le principe de finalité ?: Les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée, puis traitées de manière compatible avec ces finalités.
Que signifie le principe de proportionnalité en matière de données ?: Le traitement doit être apte à atteindre le but, nécessaire (aucune mesure moins incisive) et raisonnable. Les données non nécessaires ne sont pas collectées et les données devenues inutiles sont détruites ou anonymisées.
Qu'est-ce que le principe d'exactitude ?: L'organe qui traite des données doit s'assurer qu'elles sont correctes et, au besoin, les rectifier ou les compléter. Une donnée inexacte peut être contestée par la personne concernée.
À quelles conditions une autorité peut-elle communiquer des données personnelles à une autre autorité ?: En principe sur la base d'une disposition légale, ou lorsque la communication est indispensable à l'accomplissement d'une tâche légale du destinataire, dans le respect de la finalité initiale.
Qu'est-ce qu'une procédure d'appel (accès en ligne) ?: Un mode de communication où le destinataire consulte directement les données dans le système du détenteur. Pour les données sensibles, elle suppose une base légale expresse.
Quel est le rôle du Préposé fédéral à la protection des données et à la transparence (PFPDT) ?: Il surveille l'application de la LPD par les organes fédéraux et les privés, conseille, enquête et, depuis 2023, peut rendre des décisions contraignantes. Il ne dispose pas de pouvoir de sanction pénale directe.
Pourquoi l'État est-il tenu de réaliser une analyse d'impact pour certains projets ?: Lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux (données sensibles à grande échelle, profilage), il faut évaluer ce risque avant le traitement.

Glossaire

Donnée personnelle: Toute information concernant une personne physique identifiée ou identifiable. Depuis la révision de 2023, les données de personnes morales ne sont plus protégées par la LPD.
Donnée sensible: Donnée dont le traitement présente un risque accru d'atteinte à la personnalité : santé, sphère intime, appartenance raciale, opinions religieuses ou politiques, poursuites pénales, mesures d'aide sociale, données génétiques ou biométriques.
Base légale formelle: Norme adoptée selon la procédure législative ordinaire, par le Parlement et sujette au référendum, par opposition à une simple ordonnance de l'exécutif.
Finalité: But pour lequel des données ont été collectées. Elle limite les utilisations ultérieures, qui doivent rester compatibles avec elle.
Profilage: Traitement automatisé de données personnelles visant à évaluer certains aspects d'une personne (situation économique, santé, comportement). La LPD distingue le profilage à risque élevé, qui implique des exigences accrues.
Personne concernée: Personne physique dont les données sont traitées. Elle dispose notamment d'un droit d'accès, de rectification et de suppression, que la loi peut restreindre pour des motifs prépondérants.
Organe fédéral: Autorité ou service de la Confédération, ou personne chargée d'une tâche publique fédérale, soumis à la LPD pour le traitement de données.
Procédure d'appel: Accès direct en ligne d'une autorité aux données d'une autre, sans transmission au cas par cas.