Les principes de loi
Les principes, grille d'analyse de la conformité
a loi sur la protection des données est fondée sur des principes juridiques, sorte de grandes lignes directrices qui servent à analyser si un traitement de données personnelles est conforme ou non à la loi sur la protection des données.
Ces principes se retrouvent dans toutes les lois qui découlent de la Convention 108+ du Conseil de l'Europe et revêtent donc d'un caractère quasi universel.
Les principes de légalité, finalité, proportionnalité, transparence, exactitude et sécurité forme les six grands principes qu'il est essentiel de maîtriser pour effectuer une analyse de conformité.
Les principes clés
Le principe de légalité dispose qu’un traitement de données n’est autorisé que s’il répond aux exigences de la LPrD, lesquelles sont différentes selon le type de données personnelles :
- Les données personnelles non sensibles peuvent faire l’objet d’un traitement de données selon deux alternatives : si une base légale l’autorise ; si le traitement sert à l’accomplissement d’une tâche publique.
- Les données personnelles sensibles peuvent faire l’objet d’un traitement de données selon trois alternatives : si une loi au sens formel l’autorise ; si le traitement est absolument exigé pour l’accomplissement d’une tâche publique clairement définie dans une loi au sens formel ; si la personne concernée y a consenti ou a rendu ses données accessibles à tout un chacun.
Le principe de finalité dispose qu’un traitement de données n’est autorisé que dans le but indiqué lors de la collecte de donnée.
Le principe de finalité s’applique à la collecte de données personnelles, et aux traitements qui s'ensuivent.
Le principe de proportionnalité dispose qu’un traitement de données n’est autorisé que s’il est proportionnel au sens large du terme. Pour réaliser cette exigence, le traitement de données doit répondre aux critères de l’aptitude, de la nécessité, et de la proportionnalité au sens strict du terme.
L’aptitude exige que le traitement de données doive être apte à atteindre le but visé.
La nécessité exige que le traitement de données n’use que des moyens nécessaires au but du traitement, soit les moyens les moins intrusifs possibles et sur le nombre le plus limité de données.
La proportionnalité au sens strict du terme exige que le traitement de données présente un rapport raisonnable entre le but poursuivi et l’atteinte à la personnalité. En d’autres termes, le traitement doit demeurer dans un rapport raisonnable entre le résultat légitime recherché et le moyen utilisé, tout en préservant le plus possible le droit des personnes concernées.
Le principe de transparence dispose qu’un traitement de données n’est autorisé que s’il est reconnaissable pour la personne concernée et qu’il ne s’effectue pas à son insu. Le traitement comme ses finalités doivent être reconnaissables pour la personne concernée.
Le principe d’exactitude dispose qu’un traitement de données n’est autorisé que si les données personnelles collectées sont exactes, à jour et complètes au regard des finalités du traitement.
Ce sont aux entités définies par l’art. 3 al. 2 LPrD de vérifier l’exactitude des données personnelles collectées et donc, notamment, aux personnes morales auxquelles le canton ou une commune confie des tâches publiques, dans l’exécution desdites tâches.
Le responsable du traitement doit prendre toute mesure appropriée permettant d'effacer ou de rectifier les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées.
Toute personne concernée peut requérir la rectification des données inexactes.
Le principe de sécurité exige que le responsable du traitement prenne les mesures techniques ou organisationnelles (MTO) pour garantir la sécurité des fichiers et des données personnelles, notamment contre leur perte, leur destruction, et tout traitement illicite.
Par exemple :
- une mesure technique de sécurité peut être la pseudonomysation ou l’anonymisation de données,
- une mesure organisationnelle de sécurité peut être d’empêcher l’accès au bâtiment, à l’infrastructure, mettre en place de cybersécurité contre le piratage.
Les autres principes
Le principe de « Privacy by Design » exige que le responsable du traitement prenne les mesures techniques ou organisationnelles pour garantir que le traitement de données respecte les règles de protection des données dès sa conception.
Le principe de « Privacy by Default » exige que le responsable du traitement prenne les mesures techniques ou organisationnelles pour que le traitement de données ne concerne que les données personnelles nécessaires au regard des finalités poursuivies. Lorsque l’utilisateur se voit proposer des options de traitement des données, le paramètre par défaut doit être le moins étendu.
Le principe de conservation dispose que les données personnelles collectées doivent être détruites ou rendues anonymes dès qu’elles ne sont plus nécessaires à la réalisation de la tâche pour laquelle elles ont été collectées.
Des exceptions sont réservées par les bases légales spécifiques à la conservation des données.
Le principe du consentement se lit en alternative du principe de légalité. Pour être valable, le consentement doit être donné par une personne qui exprime sa volonté librement et après avoir été dûment informée.
Lorsque la collecte des données concerne plusieurs finalités en même temps, le consentement doit être en plus spécifique.
Lorsque la collecte des données concerne des données sensibles ou s’effectue pour un profil de la personnalité, le consentement doit être en plus explicite (acte concluant).