Protection des données: Les personnes concernées doivent-elles être informées?
Alesch Staehelin
Alesch Staehelin est avocat à Zurich. Son cabinet Digital Lawyer & Counsel (DLC) est actif dans les domaines «Data, IT/IP & Media». Il conseille sur les questions de protection des données, de sécurité informatique, de transformation numérique, de nouvelles technologies (IoT, AI, VR, AR, etc.), de médias sociaux, de commerce électronique, de droit d'auteur, de droit du divertissement et des médias, de droit des marques, de droit du design et de droit des brevets (y compris la protection du savoir-faire) ainsi que de droit de la concurrence; il rédige, examine et négocie des contrats de toutes sortes (en particulier des Tech-Deals complexes, critiques en termes de délais et transfrontaliers); il joue le rôle de médiateur dans des projets litigieux et mène des procédures judiciaires et arbitrales. Alesch Staehelin a également collaboré pendant plus d'une décennie dans un autre cabinet d'avocats suisse et a été Senior Corporate Counsel chez IBM.
Aides de travail appropriées
EN BREF
En Suisse, la loi sur la protection des données impose d’informer les personnes concernées dès que leurs données personnelles sont collectées ou utilisées. Cette obligation vise à garantir la transparence et à permettre l’exercice des droits. Elle s’applique notamment lors de la collecte, en cas de décisions automatisées et lors de violations de données.
À retenir :
→ Toute collecte de données personnelles doit être accompagnée d’une information claire
→ L’information minimale inclut le responsable, la finalité et les destinataires
→ Des règles spécifiques s’appliquent aux décisions automatisées
→ Les violations de données nécessitent une information si la protection des personnes l’exige
→ Les exceptions doivent être justifiées et documentées
Devoir d'informer lors de la collecte de données à caractère personnel
Principe et contenu minimal (art. 19 LPD): le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles, que celle-ci soit effectuée auprès d’elle ou non. Lors de la collecte, il communique à la personne concernée les informations nécessaires pour qu’elle puisse faire valoir ses droits selon la présente loi et pour que la transparence des traitements soit garantie; il lui communique au moins l’identité et les coordonnées du responsable du traitement, la finalité du traitement et, le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises. En outre, l’art. 19 LPD exige, en cas de collecte de données auprès de tiers, l’indication des catégories de données à caractère personnel traitées. En cas de communication à l’étranger, il convient de mentionner l’Etat destinataire ou l’organisme international ainsi que, le cas échéant, les garanties prévues ou l’application d’une des exceptions prévues.
Remarque importante: La personne concernée est la destinataire de ces informations. En règle générale, c'est le responsable du traitement (l'organisme qui définit les finalités et les moyens du traitement) qui est tenu de fournir ces informations. L'obligation d'information a pour but de garantir la transparence du traitement des données et de permettre aux personnes concernées d'exercer leurs droits.
Moment et nature de l’information
Autant que nécessaire, aussi conviviale que possible: en cas de collecte directe des données, l'information est généralement fournie au moment de la collecte (par exemple dans le formulaire ou lors du paiement). Si les données sont obtenues auprès de tiers, la règle générale est la suivante: l'information doit être fournie au plus tard dans un délai d'un mois après leur réception – ou plus tôt si les données sont communiquées avant l'expiration de ce délai. La loi sur la protection des données n'impose pas de règles de forme rigides. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) souligne toutefois que l’information doit être concise, transparente, compréhensible et facilement accessible (par exemple, politique de confidentialité, mentions au cours du processus, pictogrammes/superposition).
Exemple pratique: Boutique en ligne: à mentionner lors du paiement (exécution du contrat/expédition; destinataires: prestataires de services de paiement/prestataires logistiques; le cas échéant, notification à l'étranger dans les groupes de pays pris en charge par le cloud).
Exemple pratique: marketing provenant de sources tierces (prospects interentreprises B2B): information dans un délai d'un mois concernant les catégories de données, la finalité (par exemple, offre/newsletter), les catégories de destinataires et toute communication éventuelle à l'étranger.
Dans quels cas l'information peut-elle être omise ou restreinte?
L'article 20 LPD prévoit cependant une exception: l'obligation d'information ne s'applique pas, entre autres, lorsque la personne concernée dispose déjà des informations, lorsque le traitement est prévu par la loi ou lorsqu'une obligation légale de garder le secret s'applique; en cas de collecte auprès de tiers, l'obligation ne s'applique pas non plus lorsque l'information est impossible à donner ou qu'elle nécessite des efforts disproportionnés.
Le responsable du traitement peut en outre limiter, reporter ou omettre l’information lorsque, par exemple, des intérêts prépondérants de tiers l’exigent ou que l’information compromettrait la finalité du traitement; pour les organes fédéraux, des motifs supplémentaires s’appliquent (intérêts publics prépondérants, lorsque la communication des informations est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative).
«Best Practice»: Les exceptions doivent être justifiées et consignées en interne (analyse des intérêts en jeu, alternatives, mesures de remplacement telles que la publication officielle). Il ne s'agit pas seulement d'une question de «conformité», cela permet également de réduire les risques de litiges, de réclamations et d'atteinte à la réputation.
Devenir membre et lire la suite:
- Accès illimité à plus de 600 aides de travail
- Tous les articles payants en accès illimité sur weka.ch
- Accès à toutes les vidéos
- Actualisation quotidienne
- Nouveaux articles et aides de travail chaque semaine
- Offres spéciales exclusives
- Services d’actualité et de mises à jour
- Bons séminaires
