Guide aux communes - protection des données

Le droit suisse de la protection des données protège la personnalité et les droits fondamentaux de la personne qui fait l’objet d’un traitement de données.

Concrètement, le droit cantonal de la protection des données vise à protéger les libertés fondamentales et la vie privée des personnes face aux atteintes qui peuvent résulter du traitement de données personnelles par l’Etat, les communes ou les privés chargés de tâches publiques (art. 1 LPrD). La protection des données protège la sphère privée et résout le conflit entre l’intérêt de l’individu à garder la maîtrise sur ses données personnelles et celui de l’administration à pouvoir les traiter pour travailler de manière efficace.

Exemple concret

Le Service social (responsable du traitement) gère une liste des personnes bénéficiaires de l’aide sociale qui contient notamment leurs noms, leur adresse, leur situation professionnelle (p. ex. : chômage), des informations sur leur santé, voire d’éventuelles poursuites. Les données précitées constituent toutes des données personnelles ; les données de santé ou celles relatives aux poursuites, par exemple, constituent même des données personnelles sensibles (art. 4 al. 1 let. c ch. 2 et 6 LPrD).

Le Service social peut se procurer une partie des informations nécessaires à l’accomplissement de ses tâches directement auprès de la commune et/ou du Contrôle des habitants de la commune. Sur la base de ces informations, le Service social constitue un dossier à l’intention de la Commission sociale pour que celle-ci décide de l’octroi et du montant de l’aide sociale.

Tant la collecte des données auprès du Contrôle des habitants, que la gestion de la liste des personnes bénéficiaires de l’aide sociale, ou encore la constitution du dossier à l’intention de la Commission sociale constituent des traitements de données personnelles opérés par le Service social.

La LPrD vise à garantir que seules les personnes autorisées puissent traiter et consulter ces données. Ainsi, le Contrôle des habitants ne peut pas consulter le dossier du Service social.

Questions fréquentes

• A qui s’applique la loi cantonale sur la protection des données ?

  La mise en œuvre des principes énoncés plus haut incombe aux organes de l’Etat, des communes et des autres personnes morales de droit public, ainsi qu’aux personnes privées et aux organes d’institutions privées lorsqu’ils accomplissent des tâches de droit public (art. 2 al. 1 LPrD). Chaque organe est responsable des traitements de données personnelles qu’il effectue (art. 36 à 45 LPrD). Ses tâches impliquent notamment de veiller à ce que la déclaration des activités de traitement soit faite auprès de l’ATPrDM (art. 38 et 39 LPrD), mais également de s’assurer que les personnes concernées puissent faire usage de leur droit d’accès à leurs propres données (art. 27 à 35 LPrD).

  L’organe responsable est tenu de respecter, lors de chaque traitement de données personnelles, l’ensemble des obligations en matière de protection des données découlant de la loi. Cette règle générale de responsabilité est complétée par la désignation d’un responsable du traitement pour chaque activité de traitement (cf. art. 38 al. 2 let. a LPrD).

• Quels sont les éléments à prendre en compte lors du traitement des données ?

  Tout traitement de données se doit de respecter les principes généraux applicables en protection des données (art. 5 à 11 LPrD). Il s’agit notamment des principes suivants : la légalité (art. 5 et 6 LPrD), la finalité (art. 7 LPrD), la proportionnalité (art. 8 LPrD), l’exactitude des données (art. 9 LPrD), le délai de conservation des données (art. 10 LPrD), ainsi que le devoir de diligence accru (art. 11 LPrD). Certaines formes de traitement, telles que la collecte de données (art. 12 et 13 LPrD), ou encore la communication de données (art. 14 à 17 LPrD) requièrent le respect de conditions supplémentaires (p. ex. : le devoir d’informer lors de la collecte des données). Les principes précités sont examinés tour à tour ci-après.

  Base légale (art. 5 LPrD)

  L'organe public n'est en droit de traiter des données personnelles que si une disposition légale le prévoit ou si l'accomplissement d'une tâche légale l'exige (art 5 al. 1 LPrD). Le traitement de données personnelles sensibles ou les activités de profilage nécessitent une loi au sens formel.

  Finalité (art. 7 LPrD)

  La bonne foi constitue un élément essentiel de la transparence et de la prévisibilité du traitement permettant à la personne concernée d’adapter son comportement.

  Le principe de finalité (art. 7 LPrD) est étroitement lié au principe général de la bonne foi. En effet, lorsque la personne concernée fournit à un organe public des informations sur son compte, elle ne le fait pas de manière inconditionnelle, mais en vue d’un traitement déterminé par celui-ci.

  Pour déterminer si le principe de la finalité est respecté, il convient de se poser les questions suivantes :

  • Le but et la nature du traitement a-t-il été annoncé préalablement ? Ceci exclut que des données soient collectées de manière illimitée ?
  • Le traitement de données opéré est-il toujours conforme au but initial pour lequel les données ont été collectés ?

  La personne concernée peut consentir à une utilisation de ses données à de nouvelles fins (art. 7 al. 2 en lien avec l’art. 6 LPrD).

  Proportionnalité (art. 8 LPrD)

  Selon le principe de la proportionnalité, les données et les modes de traitement doivent être nécessaires, appropriés et non excessifs par rapport au but du traitement. Ils doivent ménager le plus possible la personnalité et les droits fondamentaux de la personne concernée. Ce principe, élément essentiel de la protection des données, se voit appliqué dès la phase de la collecte et jusqu’à la phase de destruction, respectivement d’archivage.

  Exactitude des données (art. 9 LPrD)

  L’organe public doit veiller à l’exactitude des données qu’il traite ; il se doit de prendre toutes les mesures appropriées pour rectifier, effacer ou détruire les données inexactes ou incomplètes au regard de la finalité du traitement opéré.

• Comment puis-je obtenir des données (collecte de données, art. 12 et 13 LPrD) ?

  Le responsable du traitement informe la personne concernée de manière adéquate de la collecte de données personnelles. Lorsque la collecte de données s’effectue directement auprès de celle-ci, le responsable du traitement doit veiller à lui fournir notamment les informations listées à l’article 12 alinéa 2 LPrD. En cas de collecte auprès d’un autre organe ou d’un tiers, le responsable du traitement informe la personne concernée de la collecte de données ainsi que du type de données collectées.

  Toutefois, dans certains cas, le responsable du traitement est délié de son devoir d’information (art. 13 LPrD).

  Les données personnelles ne peuvent être traitées que dans le but pour lequel elles ont été collectées (art. 7 LPrD).

  De manière générale, il convient de se poser notamment les questions suivantes dans le cadre d’une collecte de données :

  • Existe-t-il des bases légales qui autorisent la collecte de données envisagée ? Si non, est-elle nécessaire à l’accomplissement de tâches légales ?
  • S’agit-il d’une collecte de données systématique ou dans un cas d’espèce ?
  • Auprès de qui la collecte de données s’effectue-t-elle (personne concernée, autre organe public, tiers, etc.) ?
  • La personne concernée est-elle informée qu’il s’agit d’une collecte de données (se rend-elle compte que des données sont collectées) ?
  • La personne concernée a-t-elle été informée du but de la collecte de données (en connaît-elle les raisons), des destinataires de ses données, du caractère obligatoires ou facultatif de la collecte des données ?
• À quoi dois-je faire attention lors du traitement de données personnelles (traitement, collecte, communication, art. 12 à 17 LPrD) ?

  Une fois collectées, les données sont traitées et utilisées selon le but initial. Parfois, il peut être question de la communication de données à d’autres organes publics ou à des tiers. On entend par communication le fait de rendre des données personnelles accessibles, par exemple en autorisant leur consultation, en les transmettant ou en les diffusant. Ainsi, la communication de données personnelles comprend tant la diffusion active des données, que l’accès passif aux données (p. ex. : permettre à un autre organe public et/ou à un tiers de consulter les données).

  Pour déterminer si une protection des données suffisante est assurée, il convient de se poser notamment les questions suivantes :

  • S’agit-il de données personnelles ou de données personnelles sensibles (devoir de diligence accrue requis) ?
  • Existe-t-il des bases légales expresses qui permettent le traitement de données envisagé ? Qu’exigent-elles ? Si non, le traitement de données est-il indispensable à l'accomplissement d'une tâche clairement définie par la loi et ne présente-t-elle pas de risques particuliers pour les droits fondamentaux des personnes concernées ?
  • Des données anonymes suffiraient-elles ? Si oui, sont-elles rendues anonymes ? Existent-elles de manière anonymisée ?
  • Si le traitement n’est pas prévu dans la loi, la personne concernée a-t-elle donné son consentement ou peut-on présumer celui-ci des circonstances ? Son consentement est-il donné de manière libre et éclairé ?

  Les articles 14 à 17 LPrD ne constituent pas en soi une base légale qui autorise la communication de données personnelles ; ils se limitent à soumettre les différentes formes de communication à des conditions supplémentaires, auxquelles s’ajoutent les conditions générales des articles 5 à 11 LPrD.

• Dans quels cas les données peuvent-elles être communiquées (art. 14 ss LPrD) ?

  Le législateur fait une distinction entre la communication systématique (cf. pt 1.1) et la communication dans un cas d’espèce (cf. pt 1.2).

  1.1. Communication systématique

  La communication de données systématique est admissible uniquement si une base légale la prévoit (art. 14 al. 1 LPrD), à savoir si la communication est prévue expressément dans une disposition légale.

  1.2. Communication dans un cas d’espèce

  La communication de données dans un cas d’espèce est admissible aux trois conditions alternatives suivantes (art. 14 al. 2 LPrD) :

  • si la communication est indispensable à l’accomplissement des tâches légales du responsable du traitement ou du ou de la destinataire des données (let. a). La tâche doit être définie dans la loi. L’organe public ne doit pas être en mesure d’exécuter normalement sa tâche sans les données personnelles visées ;
  • si la personne concernée a consenti à la communication (let. b) ;
  • si la personne privée qui demande les données justifie d’un intérêt à la communication primant celui de la personne concernée à ce que les données ne soient pas communiquées (let. c). L’organe public doit réaliser une pesée des intérêts entre les intérêts de la personne concernée et ceux de la personne qui demande les données. Il n’est pas exclu qu’une communication puisse avoir lieu même dans des cas où la personne concernée s’y est opposée.
• Protection des données, secret de fonction et secret professionnel

  La licéité d’une communication doit être établie non seulement selon les conditions de l’article 14 LPrD et les principes généraux en matière de protection des données, mais également selon qu’il existe ou non une restriction à la communication (art. 16 LPrD). En effet, la communication est refusée, restreinte ou assortie de charges si un intérêt public prépondérant ou un intérêt digne de protection de la personne concernée ou d’un tiers le commande (let. a), ou si une obligation légale de garder le secret (p. ex. : le secret de fonction ou professionnel) ou une disposition particulière de protection des données l’exige (let. b).

  Le secret de fonction a pour but d’empêcher la divulgation de faits dont un agent d’une collectivité publique (Etat, commune) a eu connaissance dans l’exercice de ses fonctions et ces faits doivent rester secrets en raison de leur nature, des circonstances ou d’instructions spéciales (p. ex. : quel habitant dépose une demande d’aide sociale dans la commune).

  Le secret professionnel interdit à la personne qui y est soumise (p. ex. : médecin, avocat, etc.) de révéler un secret qui lui a été confié dans le cadre de sa profession ou dont elle a eu connaissance dans l’exercice de celle-ci.

  Le secret de fonction, le secret professionnel et la protection des données ne sont pas incompatibles. En effet, une personne peut être à la fois soumise à l’un de ces secrets et tenue de respecter les principes de la protection des données. Rappelons encore que la violation du secret de fonction ou professionnel entraînent des conséquences pénales (art. 320 et 321 du Code pénal suisse du 21 décembre 1937, CP ; RS 311.0).

• Comment procéder si je reçois une demande de l’étranger ?

  La communication de données vers l’étranger est régie de manière spécifique par l’article 15 LPrD, qui pose des conditions supplémentaires. En principe, elle est autorisée que s’il existe une autorisation du Conseil fédéral qui atteste que l’Etat ou l’organisme international garantit un niveau de protection adéquat.

  En l’absence d’une telle décision, la communication vers l’étranger est possible qu’aux conditions de l’article 15 alinéa 2 LPrD. Par ailleurs, avant toute communication de données vers l’étranger, l’organe public est tenu d’informer l’ATPrDM sur les garanties prévues à l’alinéa 2 lettre a (art. 15 al. 3 LPrD).

  L’Annexe 1 de l’ordonnance fédérale du 31 août 2022 sur la protection des données (OPDo ; RS 235.11), notamment accessible depuis le site internet du Préposé fédéral à la protection des données et à la transparence (PFPDT), dresse une liste des Etats dont la législation offre un niveau de protection adéquat.

  L’ATPrDM a publié une fiche informative sur la communication transfrontière sur son site Internet.

• Combien de temps dois-je/puis-je conserver les données ?

  En vertu des principes de protection des données, les données personnelles ne doivent être conservées que pendant la durée raisonnablement utile pour atteindre le but pour lequel elles ont été collectées et traitées.

  Une fois le but atteint, les données personnelles doivent être détruites ou anonymisées, ou versées aux archives si elles présentent une valeur archivistique (art. 10 al. 1 et 24 LPrD). Il s’agit d’un moyen pour garantir le droit à l’oubli. Toutefois, ce droit se heurte parfois à d’autres intérêts (preuves, intérêts historiques, scientifiques) qui doivent être pris en compte dans la pesée des intérêts. Les dispositions cantonales et communales sur l’archivage sont réservées (art. 10 al. 1 in fine et 23 LPrD).

• Des personnes privées peuvent-elles demander des renseignements sur leurs données (droit d’accès à ses propres données, art. 27 ss LPrD) ?

  Le droit d’accès à ses propres données (art. 27 ss LPrD) constitue pour la personne concernée le pendant du droit à traiter des données personnelles pour un organe public. Il s’agit d’un droit strictement personnel ; cela signifie, qu’un mineur ou une personne sous curatelle de portée générale et capable de discernement est en mesure d’exercer son droit d’accès sans le consentement de son représentant légal. De plus, conformément à l’article 27 alinéa 1 LPrD, nul ne peut renoncer par avance à son droit d’accès.

  Le droit d’accès s’étend à toutes les données personnelles de la personne concernée que l’organe public traite à son sujet (art. 27 LPrD). Si lors de l’exercice du droit d’accès, la personne concernée constate que les données font l’objet d’un traitement illicite, ou qu’elles s’avèrent inexactes ou fausses, celle-ci peut faire valoir différentes actions défensives auprès de l’organe public (art. 33 LPrD). Ainsi, pour autant qu’elle dispose d’un intérêt digne de protection, la personne concernée peut notamment demander l’abstention ou la cessation du traitement illicite des données, la rectification ou la destruction des données, ou encore interdire temporairement leur traitement (p. ex. : modification ou communication). En outre, en cas de préjudice subi en raison d’une violation des dispositions de la LPrD, la personne concernée peut également faire valoir des prétentions en dommages-intérêts et en réparation du tort moral (art. 35 LPrD).

• Comment traiter une demande de droit d’accès à ses propres données ?

  La procédure de droit d’accès à ses propres données (art. 28 LPrD) est relativement simple. La personne qui souhaite exercer son droit d’accès doit justifier de son identité. Le requérant n’a pas à motiver sa demande. Il est libre de demander l’accès à tous les dossiers qui le concernent et dont l’organe public est responsable ; ce dernier est également tenu de communiquer les données et de fournir les renseignements demandés en cas de sous-traitance du traitement des données (art. 27 al. 3 LPrD). À noter, qu’une requête générale adressée à l’ensemble de l’administration ne peut pas être admise.

  En règle générale, les différentes informations sont fournies par écrit sur un support écrit ou de façon électronique. La consultation sur place est envisageable, mais elle nécessite l’accord du responsable du traitement. En principe, la procédure est gratuite ; des émoluments peuvent toutefois être perçus si la demande nécessite un travail disproportionné ou excessif.

• Quand puis-je refuser le droit d'accès ?

  En principe, le responsable du traitement doit accorder le droit d’accès à ses propres données. Toutefois, selon l’article 29 alinéa 1 LPrD, il lui est possible de refuser, restreindre ou différer la communication des données si l’une des conditions suivantes s’avère remplie, à savoir : une loi au sens formel le prévoit (let. a), un intérêt privé ou public prépondérant le commande (p. ex. : risque de compromettre une procédure ou une enquête en cours) (let. b), ou si la demande d’accès est clairement abusive (p. ex. : caractère répétitif de la demande) (let. c). Le responsable du traitement doit motiver sa décision ; elle est sujet à recours (art. 34 al. 1 LPrD).

  Un refus de communiquer l’information demandée ne peut être admis que si aucune mesure moins incisive (p. ex. : caviardage de certains passages) ne peut être prononcée au vu du but poursuivi. Un guide pratique en matière de caviardage est disponible sur le site Internet de l’ATPrDM.

• Que se passe-t-il si je ne respecte pas la loi ?

  La surveillance de la protection des données est exercée par l’ATPrDM (art. 46 LPrD). Cette dernière est dotée de pouvoirs d’intervention. Ainsi, en cas de violation ou de risque de violation des dispositions sur la protection des données :

  • la préposée peut rendre des recommandations à l’attention des organes publics qui traitent des données personnelles (p.ex. : inviter à cesser la collecte, la communication, etc.) (art. 54 al. 1 let. k et 57 LPrD) ;
  • l’organe public ou l’organe hiérarchique se prononce dans le délai imparti par la préposée sur les suites qu’il entend donner à la recommandation (art. 57 al. 3 LPrD). L’absence de détermination est considérée comme un refus ;
  • en cas de refus, la Commission cantonale de la transparence, de la protection des données et de la médiation (ci-après : la Commission) peut rendre une décision (p. ex. : ordonner la suspension, la modification ou la cessation de tout ou partie du traitement ainsi que l’effacement ou la destruction de tout ou partie des données)(art. 57 al. 4 et 58 LPrD) ;
  • l’organe public peut recourir contre la décision de la Commission (art. 59 al. 2 LPrD).

  Ce système assure une protection efficace, même dans les cas de violation de la loi qui ne lèsent pas directement la personne concernée.

• Des dispositions particulières s’appliquent-elles au Contrôle des habitants ?

  1.1 Collecte et traitement de données personnelles

  Selon l’article 17 alinéa 1 LPrD, la communication des données personnelles inscrites au Contrôle des habitants est régie par la loi du 23 mai 1986 sur le contrôle des habitants (LCH ; RSF 114.21.21). Aux termes de l’article 16 alinéa 1 LCH, l’Etat gère une plateforme informatique (ci-après : plateforme FriPers) comprenant les données enregistrées dans les registres communaux des habitants conformément à l’article 4 LCH. Cette plateforme a pour but de faciliter la fourniture de données aux ayants droit. Elle permet en particulier (art. 16 al. 2 LCH) : l’échange de données entre communes lors du départ ou de l’arrivée de personnes ; la transmission de données à l’Office fédéral de la statistique (OFS), conformément à la législation fédérale ; la transmission de données aux autorités et administrations publiques dûment autorisées.

  L’article 6 de la loi fédérale du 23 juin 2006 sur l’harmonisation des registres des habitants et d’autres registres officiels de personnes (LHR ; RS 431.02) fixe le contenu minimal que doivent contenir les registres des habitants, auquel s’ajoutent les données listées à l’article 4 alinéa 2 LCH. Il s’agit des données obligatoires que la commune est tenue d’inscrire dans le registre des habitants pour tout nouvel habitant, et qui sont ensuite transmises à la plateforme FriPers.

  Des données supplémentaires peuvent être demandées par la commune, mais celle-ci doit informer la personne concernée de manière adéquate de la collecte des données personnelles (art. 12 al. 1 et 2 LPrD). Elle doit notamment l’informer sur le responsable du traitement, la finalité du traitement, les destinataires ou les catégories de destinataires potentiel des données, ainsi que le caractère facultatif ou non de la collecte des données. En outre, la collecte de donnée supplémentaire doit satisfaire aux principes de finalité et de la proportionnalité.

  1.2 Communication de données personnelles

  En matière de communication de données inscrites au contrôle des habitants, la LCH fait une distinction selon que la communication est faite aux autorités ou administrations publiques ou aux personnes privées (art. 16a à 17a LCH).

  1.2.1 Communication aux autorités et aux administrations publiques (art. 16a et 16b LCH)

  De manière générale, le Contrôle des habitants est amené à transmettre un certain nombre d’informations aux autorités et aux administrations publiques.

  La communication systématique de données inscrites au Contrôle des habitants doit faire l’objet d’une demande d’accès à la plateforme Fripers. En effet, conformément à l’article 16a alinéa 1 LCH, les organes publics peuvent bénéficier d’un droit accès aux données de la plateforme FriPers nécessaires à l’accomplissement de leurs tâches légales ; l’accès est soumis à autorisation. Le type d’accès dépend de la nature des tâches de l’organe public, notamment si celles-ci requièrent un accès régulier ou ponctuel aux données. Ainsi, selon l’article 16a alinéa 2 LCH, l’accès peut être direct par procédure d’appel (let. a), indirect par le biais d’une requête adressée électroniquement à la plateforme FriPers (let. b), ou encore indirect, par le biais d’une demande adressée aux Service de la population et des migrants (SPoMi) pour une communication de données relatives aux habitants de plusieurs communes (let. c).

  Par ailleurs, le ou la préposé-e au Contrôle des habitants peut, dans un cas d’espèce et sur demande, communiquer à une autorité ou à une administration publique les données dont elle a besoin pour l’accomplissement de sa tâche (art. 16b al. 1 LCH). L’organe public qui requiert la communication de données du registre des habitants doit en principe former sa demande par écrit en indiquant brièvement en quoi les données qu’il réclame sont nécessaires à l’accomplissement des tâches qu’il veut accomplir. La communication de données personnelles doit dans tous les cas satisfaire aux principes de finalité et de la proportionnalité.

  1.2.2 Communication à des personnes privées (art. 17 et 17a LCH)

  Une communication de données inscrites au contrôle des habitants à des personnes privées peut intervenir dans plusieurs cas. Une distinction est faite notamment entre la communication dans un cas d’espèce et la communication systématique.

  Premièrement, le ou la préposé-e au Contrôle des habitants peut, dans un cas d’espèce, communiquer à un particulier ou à une organisation privée qui rend vraisemblable un intérêt légitime (p. ex. : le créancier qui recherche l’adresse de son débiteur) les données personnelles exhaustives suivantes : les nom, prénom(s), sexe, date de naissance, état civil, profession, adresse, date d’arrivée, date de départ et destination (art. 17 al. 1 LCH). Dans la mesure où la loi soumet la communication des données demandées à l’existence d’un intérêt légitime, seul celui qui peut se prévaloir d’un tel intérêt est habilité à déposer une demande de communication. Si le créancier a recours à un mandataire, celui-ci est tenu de justifier de ses pouvoirs par la présentation d’une procuration dûment établie, sur laquelle doit figurer la signature du mandant.

  Deuxièmement, conformément à l’article 17 alinéa 2 LCH, le Conseil communal peut autoriser la communication, en vue de leur utilisation à des fins idéales dignes d’être soutenues (dans un but non commercial), des noms, prénom(s), date de naissance et adresses de personnes définies par un critère général (p.ex. la liste des noms de toutes les personnes habitant la commune et qui sont nées en 1985). Il s’agit d’une communication de données systématique, puisqu’elle concerne une pluralité de personnes.

  Troisièmement, le Contrôle des habitants peut être habilité à communiquer à une personne privée des données du registre des habitants concerne la réalisation de projets de recherches à caractère scientifique au sens de l’article 26 LPrD. De plus amples informations sur ce thème et les conditions (strictes) qui sous-tendent son application sont disponibles dans la feuille informative intitulée « Projets de recherche non médicale » accessible sur le site Internet de l’ATPrDM.

  Enfin, les données personnelles doivent également être transmises si une autre disposition légale l’exige (p. ex. : disposition légale réglant une obligation d’entraide administrative). Les conditions doivent être strictement examinées.

  Dans tous les cas, les communications de données qui sont faites par la commune doivent respecter les principes de finalité et de la proportionnalité. Comme les données visées ne sont communiquées que dans un but défini, elles ne peuvent pas être conservées et réutilisées à d’autres fins. Il est conseillé d’exiger une confirmation écrite de leur destruction.

• Que se passe-t-il lorsque la personne concernée à fait bloquer ses données (droit de blocage, art. 31 LPrD, art. 18 LCH) ?

  Également appelé « droit d’opposition », le droit de blocage est le droit pour la personne concernée de s’opposer par avance à ce que le responsable du traitement communique des données personnelles déterminées (art. 31 al. 1 LPrD). Un tel droit existe également à l’article 18 LCH en matière de données inscrites au Contrôle des habitants. Cependant, contrairement à la LPrD, la LCH permet uniquement de faire bloquer la communication des données inscrites au contrôle des habitants, et le droit de blocage ne vaut qu’à l’égard des personnes privées, et non des organes publics. Il suffit à la personne concernée d’adresser une déclaration de blocage des données au ou à la préposé-e au Contrôle des habitants (art. 18 al. 1 LCH). L’exercice de ce droit ne nécessite pas de démontrer ou de rendre vraisemblable un intérêt légitime. 

  Toutefois, le droit de blocage n’est pas absolu. En effet, conformément à l’article 31 alinéa 2 LPrD, la communication de données personnelles peut être autorisée malgré le droit de blocage lorsqu’elle est prévue par la loi (let. a), lorsque le défaut de communication risque de compromettre l’accomplissement de tâches de l’organe public (let. b), ou lorsque la personne qui requiert les données est une personne privée et qu’il n’existe aucun obstacle juridique à la communication et que le blocage aurait pour seul effet de l’empêcher de se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts légitimes (let. c).

  Sous l’angle de la LCH, l’article 18 alinéa 2 LCH dispose que la communication de données personnelles peut néanmoins être effectuée lorsqu'elle est prévue par une disposition légale (let. a), ou lorsque le blocage aurait pour effet d'empêcher le requérant de se prévaloir de prétentions juridiques ou de faire valoir d'autres intérêts légitimes (let. b) (p. ex. : un débiteur qui fait bloquer ses données dans le but d’empêcher un créancier de faire valoir ses droits en matière de poursuite, un parent qui fait bloquer ses données pour empêcher l’exercice d’un droit de visite, etc.). En cas de droit de blocage, une pesée des intérêts doit être effectuée.

  La demande de blocage doit avoir été faite au préalable pour qu’une personne puisse invoquer le droit de blocage, et son exercice doit être simple de façon à ne pas décourager le citoyen.

• Que signifie la LPrD pour l’utilisation des médias sociaux ?

  L’utilisation (communication et publication de documents) de médias sociaux (p. ex. : Facebook, Instagram, etc.) par des organes publics est soumise aux règles de la protection des données.

  L’organe public est seul responsable du contenu qu’il fait apparaître sur la plateforme. Dès lors, il se doit de la gérer activement et de contrôler régulièrement tout contenu pouvant porter atteinte à la personnalité, voire être contraire à l’ordre juridique. De plus, l’organe public doit mentionner les bases légales qui fondent la gestion de son compte.

• Que signifie la LPrD pour l’externalisation ?

  Le mandat d’outsourcing ou externalisation consiste pour l’organe public à avoir recours à une entreprise privée ou à la collaboration de personnes privées, contre rémunération, pour le traitement de ses données ou la fourniture de services en lien avec celles-ci.

  Le mandat peut concerner la partie technique du traitement, voire toute autre partie du traitement matériel des données personnelles (p.ex. : la collecte de données). La législation admet pour des organes publics la possibilité de mettre en place ce type de mandat. Cependant le respect des règles relatives à la protection des données doit être assuré. En effet, l’article 19 alinéa 1 LPrD dispose que l’organe public qui procède à une externalisation demeure responsable de la protection des données, en particulier de leur confidentialité ainsi que de la pérennité de leur conservation et de leur exploitation. Il est conseillé de prévoir une clause contractuelle spécifique de confidentialité en tenant compte des exigences des articles 18 à 21 LPrD. Il est nécessaire de conclure un contrat respectant au minimum les dispositions de l’article 19 alinéa 1 lettre b LPrD.

  Les organes publics externalisent de plus en plus le traitement de leurs données. Or de nombreuses questions se posent : l’organe qui externalise sait-il où ses données sont localisées, si des sous-traitants interviennent, si une protection adéquate est assurée ? Pour être en droit d’externaliser, l’organe doit répondre aux obligations légales et notamment mettre en place toutes les mesures organisationnelles et techniques appropriées contre tout traitement non autorisé des données. En outre, il est amené à répondre aux risques liés à l’externalisation dans la mesure où il demeure responsable des données.

• Que signifie la LPrD pour la vidéosurveillance ?

  L’article 25 LPrD dispose que les règles en matière de vidéosurveillance sont énoncées dans la législation y relative, à savoir la loi du 7 décembre 2010 sur la vidéosurveillance (LVid ; RSF 17.3) et son ordonnance du 23 août 2011 (OVid ; RSF 17.31).

  La vidéosurveillance constitue un traitement de données soumise au respect de la protection des données (art. 1 al. 1 LVid). La LVid s’applique aux installations de vidéosurveillance, avec ou sans enregistrement, placées de manière provisoire ou définitive dans les lieux publics.

  Le recours à la vidéosurveillance nécessite :

  • une autorisation du préfet, avec préavis de l’ATPrDM, lorsqu’il est question de l’installation d’un système de vidéosurveillance avec enregistrement (art. 5 LVid) ;
  • une annonce préalable auprès du préfet et de la préposée lorsqu’il est question de l’installation d’un système de vidéosurveillance sans enregistrement (art. 7 LVid).

  De plus amples informations sur les installations de vidéosurveillance et la procédure de demande d’autorisation sont disponibles sur le site Internet de l’Etat de Fribourg.

• Droit d'accès à ses propres données - Procédure en schéma

  Schéma