Protection des données

On parle aussi de minimisation des données. La récolte des données doit être limitée à ce qui est nécessaire pour réaliser la finalité définie pour le traitement.

Ce principe s’applique au regard de la finalité du traitement et de la nature des informations collectées.

Ex : données qui ne respectent pas le principe de proportionnalité tels que commentaires personnels dans des zones de notes ou données récoltées dans le but d’anticiper des besoins futurs.

Pour qu’un traitement de données à caractère personnel soit licite, il faut qu’il repose sur un motif justificatif appelé « base légale ». Il en existe 6 selon le RGPD :

1. la personne concernée a donné son « consentement » au traitement de ses données pour une ou plusieurs finalités spécifiques
2. le traitement est nécessaire à l’ « exécution d’un contrat ». Dans ce cas, le responsable du traitement ne peut traiter que les données strictement nécessaires à l’exécution du contrat    
3. le traitement est nécessaire au respect d’une « obligation légale» à laquelle est soumis le responsable du traitement
4. le traitement est nécessaire à la «sauvegarde des intérêts vitaux» de la personne concernée ou d’une autre personne physique
5. le traitement est nécessaire à l’exécution d’ «mission d'intérêt public»
6. le traitement est nécessaire aux fins des « intérêts légitimes » poursuivis par le responsable du traitement

Le responsable du traitement définit la base légale sur laquelle repose le traitement avant sa mise en place et pour toute sa durée. Il informe la personne concernée de la base légale choisie avant la récolte des données à caractère personnel.

• Devoir d'information active (art. 12 ss RGPD)

Un traitement est transparent si le responsable du traitement fournit à la personne concernée toutes les informations préalables au traitement et s’il communique par écrit à propos de l’exercice de ses droits ou d’une violation de ses droits.

Les informations communiquées doivent être compréhensibles et formulées dans des termes clairs et simples.

Toutes les mesures raisonnables doivent être prises par le responsable du traitement pour maintenir les données à caractère personnel à jour au regard des finalités pour lesquelles elles ont été récoltées.

Dans le cas contraire, elles doivent être effacées.

La conservation des données ne doit pas excéder la durée nécessaire au regard des finalités pour lesquelles elles sont traitées, à moins qu’il n’existe une obligation légale..

La durée de conservation des données doit être communiquée aux personnes concernées lors de leur collecte.

Toutefois les données à caractère personnel peuvent être conservées plus longtemps dans le cadre d’un traitement à des fins archivistiques, à des fins de recherche scientifique ou à des fins statistiques, pour autant que soient mises en place les mesures techniques garantissant les droits des personnes concernées.

La conservation des données comprend trois phases :

• la phase courante : les données sont actives et utilisées
• la phase intermédiaire durant laquelle le responsable du traitement doit conserver les données pour des raisons légales ou pour une utilisation dans le cadre d’un contentieux
• la phase d'archivage : le responsable du traitement doit se poser la question de la suppression des données, des procédés de destruction, d’effacement, d’anonymisation ou de pseudonymisation.

Ce principe implique la formalisation d’une politique de conservation, d’archivage et de purge des données.

la CNIL a élaboré quelques recommandations de durées de conservation qui peuvent servir de modèle en cas d’absence de durées légales : un mois pour des enregistrement de vidéosurveillance, 13 mois pour les cookies et la suppression les coordonnées d’un contact qui ne répond à aucune sollicitation depuis 3 ans, entre autres..

Privacy by design and by default : art. 25 RGPD

Le responsable du traitement doit mettre en place au moment de la détermination des moyens du traitement et au moment du traitement, des mesures techniques et organisationnelles qui permettent le respect du RGPD (Privacy by Design).

Ex : pseudonymisation, minimisation des données

Le responsable du traitement doit mettre en place des mesures qui permettent de garantir par défaut que le traitement est limité à ce qui est nécessaire (Privacy by Default). Cela s’applique à la quantité de données collectées, à leur utilisation, à leur durée de conservation et à leur accessibilité.

Appelé aussi principe de responsabilité.

Le responsable du traitement doit être capable de démontrer qu’il a mis en place des mesures techniques et organisationnelles pour assurer la conformité de tous les traitements.

Les principales obligations pour l’entreprise qui découlent de ce principe sont :

• la nomination d'un délégué à la protection des données
• l'établissement de règles internes assurant la conformité au RGPD
• l'établissement d'un registre de tous les traitements
• la réalisation d'analyses d'impact, si nécessaire
• le respect des principes de Privacy by Design et Privacy by Default
• la réalisation d'une politique de sécurité des données
• la notification en cas de violation de données personnelles

Le responsable du traitement comme le sous-traitant doivent mettre en place des techniques de protection (pseudonymisation, chiffrement des données) afin de garantir la sécurité des données.

Les risques pour la sécurité des données peuvent être la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées, ou l’accès non autorisé à ces données de manière accidentelle ou illicite.

Cette obligation de sécurité nécessite un contrôle régulier et une anticipation de scénarios éventuels.

• Le traitement de données doit être effectué selon le principe de la bonne foi (i.e. ne pas tromper la personne concernée sur le but et le traitement de ses données) (art. 4 al. 2 LPD)

• Le traitement de données doit être nécessaire pour le but indiqué et raisonnable en lien avec l'atteinte à la personnalité (art. 4 al. 2 LPD). On peut diviser ce principe en sous-principes : le principe de nécessité et d'aptitude à atteindre le but visé, la proportionnalité au sens étroit et la minimisation des données (faire avec aussi peu de données que nécessaire). Le responsable du traitement doit récolter aussi peu de données que nécessaire que ce soit sur la durée, sur le type de données sélectionnées, sur les personnes qui ont accès à ces données. Ce principe est très souvent violé.
• Le principe de la conservation limitée des données en découle.

• En droit suisse, le principe de transparence est défini par le principe de reconnaissabilité (art. 4 al. 4 LPD). Le traitement de données doit être reconnaissable, il n'y a pas une obligation d'informer, sauf pour les données sensibles (devoir d'information active) (art. 14 LPD)
• La reconnaissabilité doit porter sur le fait que les données sont collectées, sur les buts visés par le traitement et sur la personne qui traite ces données. Si ce n'est pas le cas, il faut donner une information à la personne concernée.
• En cas de devoir d'information active (données sensibles), les informations à communiquer sont l'identité du maître du fichier, les finalités du traitement, les catégories de destinataires.

• les données collectées ne doivent être traitées que dans le but qui est indiqué lors de leur collecte, qui est prévu par la loi ou qui ressort des circonstances (art. 4 al. 3 LPD)

• Le maître du fichier doit traiter des données exactes et à jour. (art. 5 LPD)
• La personne concernée a le droit de demander une rectification des données inexactes et le maître du fichier doit apporter les mesures de correction nécessaires pour que les données soient correctes.
• Le maitre du fichier indique au destinataire l'actualité et la fiabilité des données personnelles qu'il communique, dans la mesure où ces informations ne ressortent pas des données elles-mêmes ou des circonstances (art. 12 OLPD)

• Le maître du fichier doit prendre des mesures techniques et organisationnelles pour protéger les données contre un traitement inapproprié (art. 7 LPD)
• Voir aussi les articles suivants de l'Ordonnance : les mesures générales (art. 8 OLPD), les mesures en cas de traitement automatisé (art. 9 OLPD), la journalisation (art. 10 OLPD)
• Le Conseil fédéral édicte des dispositions plus détaillées sur les exigences minimales en matière de sécurité des données.

• Le traitement de données doit être effectué selon le principe de la bonne foi (i.e. ne pas tromper la personne concernée sur le but et le traitement de ses données) (art. 6 al. 2 nLPD)

• Le traitement de données doit être nécessaire pour le but indiqué et raisonnable en lien avec l'atteinte à la personnalité (art. 6 al. 2 nLPD) On peut diviser ce principe en sous-principes : le principe de nécessité et d'aptitude à atteindre le but visé, la proportionnalité au sens étroit et la minimisation des données (faire avec aussi peu de données que nécessaire). Le responsable du traitement doit récolter aussi peu de données que nécessaire que ce soit sur la durée, sur le type de données sélectionnées, sur les personnes qui ont accès à ces données. Ce principe est très souvent violé.
• Le principe de la conservation limitée des données en découle.

• Le principe de reconnaissabilité a fait place à un devoir d'information active (art. 19 nLPD)
• Le responsable du traitement (RT) doit communiquer : l'identité et les coordonnées du RT, la finalité du traitement, les destinataires ou les catégories de destinataires auxquels des données personnelles sont transmises. Si les données sont communiquées à l'etranger, le nom de l'Etat auquel elles sont communiquées.
• Il existe des exceptions (art. 20 nLPD) : la personne concernée a déjà les informations, le traitement est prévu par la loi, le traitement de données est soumis au secret ou les conditions de l'art. 27 nLPD sont remplies (Restrictions au droit d'accès applicables aux médias)
• Il existe également un devoir d'informer en cas de décision individuelle automatisée (art. 21 nLPD)

• Les données ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée et doivent être traitées ultérieurement de manière compatible avec ces finalités (art. 6 al 3 nLPD)

• Le maître du fichier doit traiter des données exactes et à jour. (art. 6 al 5 nLPD)
• La personne concernée a le droit de demander une rectification des données inexactes et le maître du fichier doit apporter les mesures de correction nécessaires pour que les données soient correctes.

• Le responsable du traitement et le sous-traitant doivent prendre des mesures techniques et organisationnelles pour protéger les données contre un traitement inapproprié (art. 8 nLPD)
• Le Conseil fédéral édicte des dispositions sur les exigences minimales en matière de sécurité des données.

• Protection des données dès la conception et par défaut (art. 7 nLPD) : nouveau principe en droit suisse. Le principe est de prévoir dès le moment où le responsable du traitement envisage un traitement, la prise en compte des principes de la protection des données. (ex. en prévoyant des limitations d'accès aux données), en mettant en oeuvre les mesures techniques et organisationnelles appropriées.
• Cela s'applique à la quantité de données collectées, à l'étendue de leur traitement, à leur durée de conservation et à leur accessibilité.