La protection des données personnelles face à l'administration publique
L'administration publique traite une quantité considérable de données personnelles relatives aux citoyens : état civil, situation fiscale, données médicales, dossiers sociaux, données de police. La protection des données constitue un droit fondamental (art. 13 Cst.) qui s'applique également dans la relation entre le citoyen et l'État. La Loi fédérale sur la protection des données (LPD), révisée et en vigueur depuis le 1er septembre 2023, ainsi que les lois cantonales, encadrent ce traitement. PBM Avocats défend les droits des personnes à Genève et Lausanne.
Cadre légal : LPD fédérale vs. lois cantonales
| Niveau | Loi applicable | Autorité de contrôle |
|---|---|---|
| Confédération | LPD (droit public fédéral) + OLPD | PFPDT (Préposé fédéral) |
| Canton de Genève | LIPAD (Loi sur l'information du public, l'accès aux documents et la protection des données personnelles) | Préposé cantonal GE (PPDT) |
| Canton de Vaud | LVPD (Loi vaudoise sur la protection des données personnelles) | Préposé cantonal VD |
Les droits des personnes concernées face aux autorités
Les personnes dont les données sont traitées par des autorités publiques disposent des droits suivants :
- Droit d'accès : obtenir la confirmation que des données vous concernent sont traitées, et en obtenir une copie (art. 25 LPD). L'autorité doit répondre dans les 30 jours
- Droit de rectification : faire corriger les données inexactes ou incomplètes
- Droit d'effacement : demander la suppression de données traitées illicitement ou dont la conservation n'est plus justifiée
- Droit d'opposition : s'opposer à certains types de traitement (profilage, marketing)
- Droit à l'information : être informé de la collecte de données (principes de transparence)
Les principes de traitement des données par l'administration
Tout traitement de données par une autorité publique doit respecter des principes fondamentaux :
- Légalité : le traitement doit reposer sur une base légale formelle (art. 17 LPD pour le secteur public)
- Proportionnalité : seules les données nécessaires à la finalité peuvent être collectées et traitées
- Finalité : les données ne peuvent être utilisées qu'aux fins pour lesquelles elles ont été collectées
- Exactitude : les données doivent être exactes et mises à jour si nécessaire
- Conservation limitée : les données ne peuvent être conservées que le temps nécessaire
- Sécurité : des mesures techniques et organisationnelles appropriées pour protéger les données
Données sensibles : protection renforcée
Certaines catégories de données bénéficient d'une protection renforcée (art. 5 let. c LPD) :
- Données sur la santé et le handicap
- Données sur les opinions politiques, religieuses ou philosophiques
- Données sur la race et l'ethnie
- Données biométriques (empreintes digitales, reconnaissance faciale)
- Données génétiques
- Données sur des mesures d'aide sociale ou des poursuites pénales
Le traitement de ces données sensitives nécessite une base légale particulièrement claire et une justification d'intérêt public prépondérant.
La surveillance numérique de masse et ses limites
Le développement des technologies numériques (intelligence artificielle, big data, caméras de reconnaissance faciale) pose des défis croissants à la protection des données face aux autorités. En Suisse :
- La Loi fédérale sur la surveillance des communications (LSCPT) encadre la surveillance des télécommunications
- La Loi sur le renseignement (LRens) prévoit des mesures de surveillance spéciales soumises à autorisation judiciaire
- Les lois cantonales encadrent la vidéosurveillance publique
- La jurisprudence de la Cour européenne des droits de l'homme (CEDH) s'applique en Suisse et limite les pratiques de surveillance de masse
La nouvelle LPD 2023 s'applique-t-elle aux autorités administratives suisses ?
La LPD révisée (en vigueur depuis le 1er septembre 2023) s'applique aux personnes privées. Pour les autorités fédérales, c'est la Loi sur la protection des données (LPD) adaptée qui s'applique. Les autorités cantonales sont régies par les lois cantonales sur la protection des données. Genève dispose de sa propre loi (LIPAD), Vaud de la LVPD. Les principes sont similaires mais les procédures et autorités de contrôle diffèrent.
Puis-je demander à une autorité administrative de me communiquer les données qu'elle détient sur moi ?
Oui. Le droit d'accès est un droit fondamental (art. 8 LPD et équivalents cantonaux). Vous pouvez demander à toute autorité publique de vous indiquer si elle traite des données vous concernant, et d'obtenir une copie de ces données. L'autorité dispose en général de 30 jours pour répondre. En cas de refus ou de réponse partielle, vous pouvez recourir devant les instances compétentes.
Peut-on demander la rectification ou l'effacement de données incorrectes détenues par l'État ?
Oui. Si des données traitées par une autorité sont inexactes, incomplètes ou obsolètes, vous pouvez en demander la rectification ou l'effacement. L'autorité peut refuser si elle a une obligation légale de conservation. En cas de refus, vous pouvez saisir le Préposé cantonal ou fédéral à la protection des données, ou recourir devant le tribunal administratif compétent.
Les caméras de surveillance publiques (CCTV) sont-elles encadrées par la loi ?
Oui. La surveillance par caméras dans les espaces publics par les autorités est soumise à des règles strictes : base légale formelle, respect du principe de proportionnalité, information des personnes filmées, durée de conservation limitée. En Suisse, les lois cantonales et communales encadrent la vidéosurveillance publique. La CJCE (CEDH) a également posé des limites strictes à la surveillance de masse.
Comment contester un traitement illicite de données par une administration publique ?
Vous pouvez : (1) adresser une demande de cessation directement à l'autorité concernée ; (2) saisir le Préposé cantonal ou fédéral à la protection des données pour une médiation ou une recommandation ; (3) introduire une action en justice devant le tribunal administratif compétent. En cas d'atteinte grave à la personnalité, des dommages-intérêts et un tort moral peuvent être réclamés.