-
- Art. 3 Cst.
- Art. 5a Cst.
- Art. 6 Cst.
- Art. 10 Cst.
- Art. 13 Cst.
- Art. 16 Cst.
- Art. 17 Cst.
- Art. 20 Cst.
- Art. 22 Cst.
- Art. 26 Cst.
- Art. 29a Cst.
- Art. 30 Cst.
- Art. 31 Cst.
- Art. 32 Cst.
- Art. 42 Cst.
- Art. 43 Cst.
- Art. 43a Cst.
- Art. 45 Cst.
- Art. 51 Cst.
- Art. 52 Cst.
- Art. 55 Cst.
- Art. 56 Cst.
- Art. 60 Cst.
- Art. 68 Cst.
- Art. 69 Cst.
- Art. 74 Cst.
- Art. 75b Cst.
- Art. 77 Cst.
- Art. 81 Cst.
- Art. 96 al. 1 Cst.
- Art. 96 al. 2 lit. a Cst.
- Art. 110 Cst.
- Art. 117a Cst.
- Art. 118 Cst.
- Art. 119a Cst.
- Art. 122 Cst.
- Art. 123a Cst.
- Art. 123b Cst.
- Art. 130 Cst.
- Art. 136 Cst.
- Art. 164 Cst.
- Art. 166 Cst.
- Art. 170 Cst.
- Art. 176 Cst.
- Art. 178 Cst.
- Art. 189 Cst.
- Art. 191 Cst.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 84 CO
- Art. 97 CO
- Art. 98 CO
- Art. 99 CO
- Art. 100 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 633 CO
- Art. 701 CO
- Art. 713 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Dispositions transitoires relatives à la révision du droit de la société anonyme du 19 juin 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 LDP
- Art. 10 LDP
- Art. 10a LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b PRA
- Art. 59c LDP
- Art. 60 LDP
- Art. 60a LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 64 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 73 LDP
- Art. 73a LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Art. 1 EIMP
- Art. 1a EIMP
- Art. 3 al. 1 et 2 EIMP
- Art. 8 EIMP
- Art. 8a EIMP
- Art. 11b EIMP
- Art. 16 EIMP
- Art. 17 EIMP
- Art. 17a EIMP
- Art. 32 EIMP
- Art. 35 EIMP
- Art. 47 EIMP
- Art. 48 EIMP
- Art. 54 EIMP
- Art. 56 EIMP
- Art. 55a EIMP
- Art. 67 EIMP
- Art. 67a EIMP
- Art. 74 EIMP
- Art. 74a EIMP
- Art. 80 EIMP
- Art. 80a EIMP
- Art. 80b EIMP
- Art. 80h EIMP
- Art. 63 EIMP
- Art. 80c EIMP
- Art. 80d EIMP
- Art. 80k EIMP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 4 LPD
- Art. 5 let. c LPD
- Art. 5 let. d LPD
- Art. 5 lit. f und g LPD
- Art. 6 al. 3-5 LPD
- Art. 6 al. 6 et 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 19 LPD
- Art. 18 LPD
- Art. 20 LPD
- Art. 21 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 28 LPD
- Art. 29 LPD
- Art. 31 al. 2 let. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 52 LPD
- Art. 54 LPD
- Art. 55 LPD
- Art. 58 LDP
- Art. 57 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 1 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 2 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 3 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 4 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 5 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 6 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 7 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 8 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 9 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 11 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 12 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 16 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 18 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 25 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 27 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 28 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 29 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 32 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 33 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 34 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
-
- Art. 2 al. 1 LBA
- Art. 2a al. 1-2 and 4-5 LBA
- Art. 2 al. 2 LBA
- Art. 2 al. 3 LBA
- Art. 3 LBA
- Art. 7 LBA
- Art. 7a LBA
- Art. 8 LBA
- Art. 8a LBA
- Art. 9 LBA
- Art. 11 LBA
- Art. 14 LBA
- Art. 15 LBA
- Art. 20 LBA
- Art. 23 LBA
- Art. 24 LBA
- Art. 24a LBA
- Art. 25 LBA
- Art. 26 LBA
- Art. 26a LBA
- Art. 27 LBA
- Art. 28 LBA
- Art. 29 LBA
- Art. 29a LBA
- Art. 29b LBA
- Art. 30 LBA
- Art. 31 LBA
- Art. 31a LBA
- Art. 32 LBA
- Art. 33 LBA
- Art. 34 LBA
- Art. 38 LBA
CONSTITUTION FÉDÉRALE
LOI FÉDÉRALE SUR L’IMPÔT FÉDÉRAL DIRECT
CODE DES OBLIGATIONS
LOI FÉDÉRALE SUR LE DROIT INTERNATIONAL PRIVÉ
CONVENTION DE LUGANO
CODE DE PROCÉDURE PÉNALE
CODE DE PROCÉDURE CIVILE
LOI FÉDÉRALE SUR LES DROITS POLITIQUES
CODE CIVIL
LOI FÉDÉRALE SUR LES CARTELS ET AUTRES RESTRICTIONS À LA CONCURRENCE
LOI FÉDÉRALE SUR L’ENTRAIDE INTERNATIONALE EN MATIÈRE PÉNALE
LOI FÉDÉRALE SUR LA PROTECTION DES DONNÉES
LOI FÉDÉRALE SUR LA POURSUITE POUR DETTES ET LA FAILLITE
CODE PÉNAL
CYBERCRIME CONVENTION
ORDONNANCE SUR LE REGISTRE DU COMMERCE
ORDONNANCE SUR LES DISPOSITIFS MÉDICAUX
LOI SUR LE BLANCHIMENT D’ARGENT
LOI SUR LA TRANSPARENCE
LOI FÉDÉRALE SUR LE TRANSFERT INTERNATIONAL DES BIENS CULTURELS
LOI SUR LES PRODUITS THÉRAPEUTIQUES
LOI FÉDÉRALE SUR L’HARMONISATION DES IMPÔTS DIRECTS DES CANTONS ET DES COMMUNES
- En bref
- I. Généralités
- II. Obligation d’information en cas de décision individuelle automatisée (al. 1)
- III. Droits de la personne concernée (al. 2)
- IV. Exceptions (al. 3)
- V. Décision individuelle automatisée prise par un organe fédéral (al. 4)
- VI. Application
- VII. Remarques de droit comparé
- VIII. Perspectives
- Bibliographie
- Matériaux
En bref
L'article 21 de la LPD prévoit une obligation d'information en cas de décisions individuelles entièrement automatisées qui portent gravement atteinte à une personne concernée ou qui entraînent des conséquences juridiques pour celle-ci. En outre, cette disposition accorde à la personne concernée divers droits de protection : un droit de faire valoir son point de vue et un droit à une vérification par un être humain. De plus, cette norme oblige les organes fédéraux à signaler expressément les décisions individuelles entièrement automatisées en tant que telles. Une lacune majeure de cette disposition réside dans le fait qu’elle n’inclut pas les décisions partiellement automatisées dans son champ d’application.
I. Généralités
A. Aperçu et structure
1 La révision de la loi sur la protection des données a introduit en septembre 2023 la notion de décision individuelle automatisée dans le droit suisse. L’art. 21 LPD régit les obligations du responsable du traitement au sens de l’art. 5, let. j, LPD et les droits de la personne concernée en cas de décision individuelle automatisée. L’al. 1 définit la décision individuelle automatisée et établit une obligation d’information à cet égard. L’al. 2 énonce les droits de la personne concernée, parmi lesquels figurent le droit d’être entendue ainsi que le droit à la vérification de la décision par une personne physique. L’al. 3 prévoit des exceptions aux al. 1 et 2. L’al. 4 établit une disposition particulière pour les organes fédéraux.
2 La LPD est précisée par l’OPDo. Celle-ci ne contient pour l’instant aucune autre disposition relative aux décisions individuelles automatisées.
B. Objectif de la norme
3 Selon le message du Conseil fédéral, l’article 21 de la LPD vise à se conformer aux dispositions existantes du droit international. Sur le fond, le Conseil fédéral justifie cette nouvelle disposition par le fait que les décisions individuelles automatisées ne cessent de se multiplier en raison des évolutions technologiques. Il n’y a toutefois pas d’analyse détaillée des risques liés aux décisions individuelles automatisées ni du besoin de réglementation qui en découle.
4 Le message cite toutefois des exemples montrant comment des décisions erronées peuvent être prises sur la base de jeux de données faux ou incomplets. Cela laisse supposer que la crainte de telles décisions ait également constitué l’un des motifs de l’introduction du nouvel article 21 de la LPD. La protection de la dignité humaine peut donc être considérée comme un objectif réglementaire potentiel, dont le but est notamment de protéger les personnes contre une simple réduction au statut d’objet de décisions automatisées. Un autre objectif réglementaire possible peut être vu dans la protection contre la discrimination par l’État : lorsqu’une décision individuelle automatisée repose sur des procédés d’apprentissage automatique, elle ne suit pas des règles établies par l’homme, mais apprend à partir de vastes quantités de données (appelées « données d’entraînement »), qui peuvent refléter des désavantages sociaux, des schémas ou des stéréotypes dépassés (ce que l’on appelle le data bias). De cette manière, une décision individuelle automatisée peut reproduire des désavantages et avoir un effet discriminatoire. La nouvelle disposition accorde aux personnes concernées la possibilité d’exercer une influence lorsqu’elles font l’objet d’une décision individuelle automatisée (« droit à être entendu par un être humain »). Selon le message, cela vise à contrer les décisions erronées et leurs conséquences. Par ailleurs, le législateur considère ainsi implicitement que les décisions humaines sont supérieures, car il estime que les décisions automatisées erronées peuvent être évitées grâce à une intervention humaine. C’est également sur cette hypothèse de base que repose la disposition relative aux décisions individuelles automatisées prévue par la DSGVO (cf. N. 69 et suivants), que le message cite comme justification supplémentaire de l’art. 21 LPD.
C. Genèse
5 Le débat juriste autour des décisions individuelles automatisées n’a certes pris de l’ampleur qu’avec l’introduction expresse de l’art. 21 LPD. Cependant, comme on le verra ci-après, cette notion remonte déjà à plusieurs décennies. L’art. 21 LPD est donc le résultat d’une évolution progressive qui s’appuie sur des tentatives de réforme antérieures et des prescriptions internationales.
6 1981 : Les documents relatifs à la directive du 16 mars 1981 sur le traitement des données personnelles au sein de l’administration fédérale mettaient en garde contre les risques pouvant découler de la création de profils de personnalité et de la prise de décision automatisée qui en découle. Une réglementation explicite de la décision individuelle automatisée n’a toutefois pas été introduite dans le droit suisse à cette époque.
7 2003 : Dans le cadre de la révision partielle de la LPD en 2003, le Conseil fédéral souhaitait introduire une obligation expresse d’information en cas de décisions individuelles automatisées. Le Parlement a toutefois rejeté cette proposition.
8 2017 – 2020 : La version de l’article 21 de la LPD proposée par le Conseil fédéral dans son message relatif à la révision totale de 2017 a été reprise pour l’essentiel par le Parlement. Alors que la consultation avait donné lieu à des controverses, la disposition en question n’a guère été contestée au cours de la procédure parlementaire. Comme le montre le tableau de concordance ci-dessous, les modifications apportées se sont limitées à des précisions rédactionnelles :
Tableau 1 : Tableau de concordance sur l’évolution de l’art. 21 LPD (élaboration propre)
9 2018 : Une nouvelle impulsion a été donnée à la réglementation des décisions individuelles automatisées dans le cadre de la mise en œuvre de la directive (UE) 2016/680, contraignante pour la Suisse, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel dans le domaine de la coopération judiciaire et policière. À cette fin, une disposition relative aux décisions individuelles automatisées a été introduite dans le cadre de la loi sur la protection des données de Schengen (LPDS ; en vigueur jusqu’au 31 août 2023) (art. 11 LPSC). Celle-ci obligeait les organes fédéraux, dans les domaines concernés, à informer les personnes concernées des décisions individuelles automatisées et leur accordait des droits de participation correspondants. Avec l’entrée en vigueur de la loi révisée sur la protection des données, la LPSC a été abrogée (art. 68 en liaison avec l’annexe 1 LPD). L’article 21 de la LPD a succédé, sur le fond, à l’article 11 de la LPSD.
10 2019 – 2023 : En outre, l’introduction de l’article 21 de la LPD vise à mettre en œuvre les obligations de la Suisse en vertu du droit international. La Convention modernisée du Conseil de l’Europe sur la protection des données (Convention 108+, Conv. 108+ du Conseil de l’Europe), que la Suisse a signée le 21 novembre 2019 et ratifiée le 7 septembre 2023, oblige expressément les États parties à garantir un droit à l’information et à être entendu en cas de décisions individuelles automatisées (art. 8, al. 1, let. e, et art. 9, al. 1, let. a, de la Convention du Conseil de l’Europe 108+). En outre, en introduisant l’art. 21 LPD, le législateur visait à instaurer un niveau de protection des données qui, par rapport à l’Union européenne, continue d’être considéré comme «adéquat» au sens de l’art. 45 de la DSGVO.
II. Obligation d’information en cas de décision individuelle automatisée (al. 1)
11 La décision individuelle automatisée est définie juridiquement à l’art. 21, al. 1, LPD. Afin de pouvoir situer cette notion (B.), il convient tout d’abord de formuler quelques remarques sur l’automatisation et son évolution technique (A.). Les conditions légales essentielles seront ensuite précisées (C.).
A. Contexte technique
1. Niveaux d’automatisation
12 Le terme « automatisation » désigne le transfert de tâches des personnes vers des machines. Une décision individuelle automatisée peut présenter différents niveaux d’automatisation. De manière générale, on peut distinguer l’automatisation partielle de l’automatisation complète.
13 La notion d’automatisation partielle revêt plusieurs significations. D’une part, il peut s’agir d’une aide à la décision. Dans ce cas, le système automatisé prépare la décision (collecte, compilation ou évaluation d’informations ; établissement de synthèses). La décision proprement dite est toutefois prise par une personne physique responsable.
Ainsi, les systèmes partiellement automatisés peuvent par exemple être utilisés pour établir des diagnostics médicaux en analysant des radiographies, des tomodensitométries ou des IRM.
Les systèmes semi-automatisés peuvent être utilisés pour établir les conditions contractuelles.
La semi-automatisation peut également s’avérer utile pour extraire des données pertinentes à partir de volumes importants de texte. Ainsi, dans l’administration fiscale, un système d’aide à la décision peut mettre à la disposition de l’autorité des données supplémentaires qui ne résultent pas directement de la déclaration d’impôt du contribuable, ou mettre en évidence les clauses contractuelles pertinentes dans des contrats volumineux.
Dans le cadre des procédures pénales, notamment aux États-Unis, on utilise des systèmes semi-automatisés qui calculent la probabilité de récidive des délinquants.
14 D’autre part, le système semi-automatisé peut servir de vérification de la décision, en étant utilisé pour contrôler une décision prise par une personne physique.
15 La plenaire automatisation, en revanche, signifie qu’un système exécute lui-même chaque étape du processus décisionnel. Au sens strict, même la programmation et le déclenchement du processus décisionnel doivent être assurés par le système.
Ainsi, dans le secteur privé, les décisions relatives aux demandes de crédit peuvent par exemple être prises de manière entièrement automatisée, en vérifiant automatiquement la solvabilité et la capacité de paiement de la personne concernée. La conclusion des contrats s’effectue alors de manière automatisée.
On peut également envisager l’automatisation du processus de recrutement. On peut penser, par exemple, à la présélection entièrement automatisée des candidatures de travailleurs potentiels. Dans ce cadre, c’est le système qui décide de l’invitation à un entretien d’embauche avec une personne physique.
Les systèmes entièrement automatisés peuvent attribuer une place d’études à des futurs étudiants et, par là même, les affecter à un établissement d’enseignement supérieur.
16 Dans le secteur public, l’automatisation complète se prête particulièrement bien, en raison de la standardisation des processus et de la disponibilité de grandes quantités de données, aux procédures d’administration de masse. Il s’agit des domaines de l’administration publique dans lesquels un grand nombre de décisions sont prises sur des situations factuelles quasi identiques.
Ainsi, en raison de la disponibilité de grandes quantités de données, la procédure d’imposition fiscale se prête à être menée de manière partiellement, mais aussi entièrement automatisée.
Dans le domaine de la sécurité sociale, la décision relative au droit à une réduction des cotisations s’avère se prêter à une automatisation complète.
Dans la procédure d’octroi des permis de construire également, l’introduction de décisions individuelles entièrement automatisées est envisagée comme une possibilité.
17 Le potentiel des systèmes automatisés est jugé particulièrement élevé dans un avenir proche au sein de l’administration publique pour les systèmes partiellement automatisés. Ainsi, les tâches existantes devraient être exécutées de manière plus efficace, plus précise et donc plus sûre sur le plan juridique.
2. Évolution
18 Les origines de la décision individuelle automatisée remontent à ce que l’on appelle les systèmes experts. Ceux-ci reposent sur des schémas structurés de type « si… alors » (appelés systèmes basés sur des règles) et, en ce sens, ne vont pas au-delà des processus décisionnels cognitifs des personnes physiques.
19 C’est notamment grâce à l’émergence du Big Data Analytics – la possibilité d’analyser de très grands ensembles de données non structurés – et aux avancées techniques qui y sont liées que les méthodes d’apprentissage automatique (souvent désignées de manière quelque peu générique sous le terme d’« intelligence artificielle » [IA]) ont pu s’imposer. Il en résulte en quelque sorte un changement de perspective : au lieu de causalités, ce sont les corrélations ou les probabilités qui entrent en jeu – par exemple lors de l’utilisation de réseaux neuronaux artificiels. Les ensembles de données ne sont plus traités à l’aide de schémas « si… alors », mais les systèmes établissent plutôt leurs propres règles pour parvenir à un résultat. Or, la manière dont les systèmes parviennent à un tel résultat reste souvent obscure. La littérature ne fait pas toujours clairement la distinction entre ce qui relève d’une « simple » automatisation ou d’un « simple » système automatisé et ce qui relève de l’utilisation de méthodes d’apprentissage automatique.
B. Décision individuelle automatisée
1. Automatisation complète
20 Il y a décision individuelle automatisée au sens de l’art. 21 LPD lorsqu’une décision repose exclusivement sur un traitement automatisé et qu’elle entraîne une conséquence juridique pour la personne concernée ou la porte gravement atteinte (art. 21, al. 1, LPD) . Il est nécessaire qu’une décision soit prise à l’égard d’une personne déterminée (décision individuelle) et qu’elle repose sur le traitement de données à caractère personnel. Du point de vue du droit public, une décision individuelle automatisée peut également être qualifiée de «décision automatisée».
21 L’élément déterminant est que le traitement s’effectue «sans intervention d’une personne physique». Il s’agit donc d’une évaluation des faits ainsi que d’une prise de décision détachées d’une personne physique, et donc d’une automatisation complète au sens de la distinction opérée dans le présent commentaire (cf. N. 15). Toutefois, si la décision ne peut plus être modifiée, le fait qu’elle soit communiquée à la personne concernée par une personne physique ne s’oppose pas à l’automatisation complète, conformément au message. Divers auteurs estiment en revanche qu’il y a toujours décision individuelle automatisée même lorsqu’une personne physique est impliquée dans la programmation. Si l’on suit ce point de vue, une décision individuelle automatisée au sens de l’art. 21, al. 1, LPD ne doit pas nécessairement être prise de manière totalement indépendante de l’intervention humaine.
2. Conséquence juridique ou atteinte significative
22 Une décision individuelle automatisée implique en outre qu’elle soit liée à une conséquence juridique ou qu’elle porte une atteinte significative à la personne concernée. Selon le message du Conseil fédéral, la décision est liée à une conséquence juridique lorsqu’elle entraîne des conséquences directes et prévues par la loi pour la personne concernée. La décision entraîne toujours une conséquence juridique lorsqu’elle affecte la situation juridique de la personne concernée – c’est-à-dire lorsqu’elle crée, modifie ou supprime un droit pour celle-ci. Contrairement à ce qui est le cas pour l’atteinte (cf. N. 24), il n’est pas exigé que la conséquence juridique revête une importance particulière. À titre d’exemple, le Conseil fédéral cite la conclusion et la résiliation de contrats, qui entraînent chacune une conséquence juridique pour la personne concernée en tant que partie contractante. Concrètement, il est fait mention de la conclusion automatisée d’un contrat d’assurance. Dans ce contexte, la couverture d’assurance et l’obligation de payer les primes devraient être considérées comme des conséquences juridiques. En revanche, selon le message, les factures de primes envoyées périodiquement et de manière automatisée sur la base du contrat d’assurance ne sont pas considérées comme une décision individuelle automatisée, d’autant plus que la facturation, en tant que conséquence juridique, découle déjà de la conclusion du contrat. De même, le fait lorsqu’aucun contrat n’est conclu avec une personne. Dans cet exemple, la non-conclusion du contrat peut néanmoins être considérée comme une décision individuelle automatisée et entraîner une obligation d’information si la personne concernée subit de ce fait un préjudice considérable (cf. N. 24).
23 Dans le contexte du droit public, il y a essentiellement une conséquence juridique lors de l’adoption de décisions au sens de l’art. 5 PA ainsi que lors d’actes réels au sens de l’art. 25a PA. Le message cite à titre d’exemple les taxations automatisées.
24 Une décision individuelle automatisée entraîne en outre une obligation d’information lorsque la personne concernée s’en trouve considérablement préjudiciée. C’est ce qu’il convient de supposer lorsque la décision a un effet négatif sur les intérêts économiques ou personnels de la personne concernée. La situation doit toutefois atteindre un certain degré de gravité ; une simple nuisance ne suffit pas. Des aspects tels que l’importance du bien lésé pour la personne concernée, la durée de l’effet de la décision ou la possibilité de se tourner vers des alternatives. Il convient donc de déterminer si la personne concernée subit un préjudice considérable en appréciant l’ensemble des circonstances au cas par cas. Le message cite comme exemple possible l’attribution de prestations médicales ou la non-conclusion d’un contrat sur la base d’une décision individuelle automatisée.
25 Parmi les exemples de décisions individuelles automatisées entraînant une conséquence juridique ou une atteinte considérable pour la personne concernée, on peut également citer :
la conclusion ou la non-conclusion d’un contrat de crédit-bail, y compris ses modalités (par exemple, taux d’intérêt, délai de paiement), dans la mesure où ces éléments dépendent d’une évaluation automatisée de la situation financière de la personne concernée (conséquence juridique ou atteinte considérable en cas de non-conclusion) ;
le refus d’une assurance maladie de conclure un contrat avec la personne concernée sur la base de l’évaluation automatisée de ses données de santé (préjudice important) ;
l’envoi automatisé d’amendes routières sur la base d’images du conducteur concerné (conséquence juridique) ;
le rejet automatisé d’une demande de crédit en ligne ou d’une candidature en ligne sans intervention humaine (préjudice important) ;
la fixation de conditions contractuelles, par exemple pour une tarification personnalisée (conséquence juridique) ;
26 En revanche, ne sont pas considérées comme des décisions individuelles automatisées :
l’envoi de publicités personnalisées, car il n’y a ni conséquence juridique ni préjudice d’une gravité suffisante.
3. Autres conditions
27 Selon le message du Conseil fédéral, il ne faut pas se fonder uniquement sur la caractéristique de «personne physique», mais également tenir compte de la complexité du système et de l’impact particulier sur la personne concernée. Il y a décision individuelle automatisée lorsque l’automatisation présente une certaine complexité et qu’elle entraîne une conséquence juridique particulièrement préjudiciable pour la personne concernée. Les simples « décisions du type si-alors » ne doivent pas être considérées comme des décisions individuelles automatisées.
Le Conseil fédéral cite comme exemple le retrait d’argent à un distributeur automatique. Si le solde du compte est suffisant, le retrait est autorisé.
28 Hormis cet exemple, le message ne précise pas le niveau de complexité requis pour de telles décisions, qui reste donc pour l’instant indéfini. Le Conseil fédéral précisera toutefois, si nécessaire, dans une ordonnance, dans quels cas une décision repose exclusivement sur un traitement automatisé.
29 Dans le contexte public, certains auteurs se concentrent sur la marge d’appréciation dont disposent les autorités lors de la prise de décision. D’autres voix, en revanche, affirment explicitement qu’une décision individuelle automatisée ne saurait être prise tant qu’une marge d’appréciation est accordée à l’autorité. S’appuyant sur le critère de la complexité, Braun Binder précise que la complexité requise peut être déterminée par un raisonnement a contrario : ne constituent pas des décisions individuelles automatisées celles qui ne nécessitent aucune enquête sur les faits.
4. Appréciation
30 Ni le texte de loi ni le message ne permettent de déterminer précisément quand il y a décision individuelle automatisée. Le critère de la « complexité » du système n’est guère utile. Cela pourrait donner l’impression que la norme ne s’applique qu’aux procédures décisionnelles entièrement automatisées reposant sur des procédés d’apprentissage automatique (ou justement « IA ») , tandis que tout processus fondé sur des schémas « si-alors » n’en relèverait pas. Cela ne saurait guère s’appliquer à l’administration publique, car la plupart des algorithmes qu’elle utilise reposent sur des schémas « si-alors ». La réglementation en matière de protection des données serait donc dépourvue de toute substance. Afin d’éviter que l’article 21 de la LPD ne reste lettre morte, les schémas « si-alors » fondés sur des règles doivent également être pris en compte. L’obstacle lié à l’exigence de complexité ne devrait donc pas être trop élevé dans la pratique.
31 Il est par ailleurs regrettable que les décisions reposant sur une automatisation partielle – sous la forme d’une aide à la décision ou d’une vérification de la décision (cf. N. 13 et suivants) – ne relèvent pas de la notion de « décision individuelle automatisée » au sens de l’art. 21, al. 1, LPD. L’applicabilité de cette disposition se heurtera à de nombreux obstacles dans la pratique. Cela est d’autant plus choquant que l’automatisation partielle, tout comme l’automatisation complète, soulève des questions relatives à la personnalité et aux droits fondamentaux (notamment en matière de discrimination, cf. N. 4). Cela vaut d’autant plus lorsque l’automatisation partielle repose sur des méthodes complexes d’apprentissage automatique.
C. Obligation d’information
32 L’art. 21, al. 1, LPD stipule que le responsable du traitement doit informer la personne concernée d’une décision individuelle automatisée. Compte tenu de la notion de décision individuelle automatisée (cf. N. 20 et suivants), l’obligation d’information ne s’applique donc que si la décision entraîne une conséquence juridique ou une atteinte significative pour la personne concernée (cf. N. 22 et suivants) .
1. Moment, contenu et forme
33 Ni la loi ni le message ne fournissent d’indications détaillées quant au moment, à la forme et au contenu de l’obligation d’information en cas de décision individuelle automatisée.
34 En ce qui concerne le moment, le responsable du traitement est libre de choisir s’il informe la personne concernée avant (ex ante) ou après (ex post) la prise de la décision individuelle automatisée. Même s’il existait de bonnes raisons de fournir une information préalable – par exemple, la possibilité de se soustraire à une décision individuelle automatisée sans devoir engager une procédure judiciaire –, et qu’une précision légale en ce sens serait nécessaire, cela n’est pas prévu par le libellé de la norme. En ce sens, l’exercice des droits des personnes concernées au titre de l’art. 21, al. 2, de la LPD (exposé du point de vue et réexamen humain a posteriori de la décision, cf. N. 49 et suivants), considéré comme l’un des objectifs de l’obligation d’information, est actuellement suffisamment pris en compte par une information ex post.
35 En ce qui concerne la forme, on peut se référer à l’article 13 de l’OPDo, qui prescrit une communication sous une forme précise, transparente, compréhensible et facilement accessible. Cette disposition se rapporte en principe à l’obligation d’information lors de la collecte de données à caractère personnel. Une application par analogie à l’article 21, al. 1, de la LPD est possible en raison du libellé identique («informe») justifiée pour l’information relative à une décision individuelle automatisée. Le responsable du traitement peut s’acquitter de cette obligation d’information, par exemple, en publiant ces informations dans une déclaration de confidentialité facilement accessible sur son site web ou en y renvoyant par un lien dans un contrat. L’indication de la décision individuelle automatisée (cf. N. 57 et suivants) n’est obligatoire que pour les organes fédéraux et, a contrario, facultative pour les particuliers.
36 L’obligation d’information vise à garantir la transparence et à fournir à la personne concernée toutes les informations nécessaires à l’exercice de ses droits en vertu de l’art. 21, al. 2, de la LPD. Pour ce faire, le responsable du traitement doit impérativement fournir les informations suivantes :
une indication précisant qu’une décision individuelle automatisée va être prise ou a été prise (selon le moment où l’information est communiquée) ;
une désignation claire des décisions ou catégories de décisions prises de manière automatisée (seules celles relevant de l’art. 21, al. 1, de la LPD étant concernées) ;
la possibilité d’exercer le droit de faire valoir son point de vue et de demander la révision de la décision individuelle automatisée, ainsi que des indications sur la mise en œuvre concrète de ces droits (par exemple, les coordonnées du responsable du traitement).
37 Selon l’interprétation défendue ici concernant la logique de la décision individuelle automatisée, il n’est pas nécessaire d’en informer la personne concernée. Pour obtenir les informations correspondantes, celle-ci peut plutôt faire valoir son droit d’accès. En conséquence, le responsable du traitement doit lui communiquer explicitement l’existence de la décision individuelle automatisée ainsi que la logique de décision (cf. art. 25, al. 2, let. f, LPD).
38 L’obligation d’information prévue à l’art. 21, al. 1, LPD doit toujours être mise en œuvre par le responsable du traitement en complément de l’obligation générale d’information lors de la collecte des données prévue à l’art. 19 LPD. Il est toutefois possible que les informations soient fournies au même endroit ou dans le même document (voir, concernant les exigences de forme, N. 35).
2. Appréciation
39 L’obligation d’information exige également implicitement qu’il s’agisse d’une décision individuelle entièrement automatisée. Pour l’appréciation de cette circonstance par les auteures, voir N. 31.
III. Droits de la personne concernée (al. 2)
40 L’art. 21, al. 2, de la LPD confère divers droits à la personne concernée par une décision individuelle automatisée. Elle peut faire valoir son point de vue (A.) et faire réexaminer la décision par une personne physique (B.). Cela permet de souligner que l’information visée à l’al. 1 doit permettre à la personne concernée de faire valoir les droits consacrés à l’al. 2.
A. Droit de faire valoir son point de vue
41 La personne concernée par une décision individuelle automatisée doit avoir la possibilité de faire valoir son point de vue. Sur demande, elle doit, d’une part, pouvoir faire part de son point de vue sur le résultat de la décision individuelle automatisée. D’autre part, elle doit pouvoir obtenir des informations sur la manière dont cette décision a été prise. Les informations relatives au processus de prise de décision doivent notamment empêcher que le traitement des données ne repose sur des données incomplètes, inexactes ou obsolètes.
1. Particuliers
42 Les particuliers auront tout particulièrement intérêt à exercer ce droit de présentation de leur point de vue lorsque la décision individuelle automatisée s’avère à tort défavorable pour la personne concernée. Si, par exemple, la solvabilité du particulier concerné est rejetée, cela peut également avoir des conséquences négatives pour le responsable privé si, en raison de cette décision, aucune relation contractuelle ne vient à être établie entre les parties.
43 La loi ne fixe pas le moment où le point de vue doit être présenté. Cela peut donc avoir lieu avant ou après la prise de décision. Du point de vue du responsable privé, cela ne pose aucune difficulté tant que cette possibilité existe à n’importe quel moment.
44 Le responsable privé peut facturer des frais pour l’exercice du droit d’être entendu. Il peut toutefois avoir intérêt à les maintenir à un niveau bas afin de ne pas empêcher la conclusion éventuelle d’un contrat.
2. État
45 Dans le contexte étatique, la prise de position en matière de protection des données doit être comprise comme découlant du droit d’être entendu conformément à l’art. 29, al. 2, Cst. En tant que garantie procédurale constitutionnelle fondamentale, le droit d’être entendu doit impérativement être accordé dans toute procédure étatique.
46 Selon la jurisprudence du Tribunal fédéral, la personne concernée par une décision étatique doit pouvoir s’exprimer (par écrit) sur les éléments pertinents de l’état de fait avant qu’une décision affectant sa situation juridique ne soit prise. Toutefois, selon le message relatif à la LPD, l’exposé du point de vue peut également avoir lieu après le prononcé de la décision, par exemple par le biais d’un recours. Étant donné que le droit d’être entendu confère le droit de s’exprimer devant l’instance qui a rendu la décision, seul un recours non dévolutif – tel qu’une opposition ayant valeur de recours – peut être envisagé. L’objectif est d’obtenir une décision sous la forme d’une décision sur opposition de la part de l’autorité ayant rendu la décision initiale.
47 Le délai d’opposition résulte des lois de procédure applicables. Il est généralement de 30 jours. Les bases légales doivent être adaptées en conséquence si des décisions individuelles automatisées doivent être introduites.
48 L’exposé de son point de vue dans le cadre de la procédure administrative ne doit pas entraîner des frais (de procédure) si élevés que la personne concernée y renonce pour cette raison. Des frais peuvent donc en principe être perçus pour le dépôt de la demande. Toutefois, au regard du principe de légalité, cela n’est possible que si la loi le prévoit.
B. Droit à un contrôle par une personne physique
49 L’art. 21, al. 2, LPD prévoit en outre le droit de la personne concernée à un contrôle par une personne physique de la décision individuelle automatisée. Cela peut s’avérer particulièrement important lorsque la personne concernée soupçonne d’être lésée par la décision individuelle automatisée.
50 L’examen doit être effectué par une personne physique habilitée à prendre des décisions, afin qu’elle puisse, le cas échéant, infirmer la décision. Elle est toutefois libre dans ses considérations et n’est pas tenue d’annuler la décision. La seule condition, selon l’avis présent, est qu’elle examine la décision en toute bonne foi.
51 Dans la pratique, ce droit à un réexamen a posteriori est jugé insuffisant, notamment au regard du risque de discrimination. Il conviendrait de vérifier de manière préventive si les systèmes de décision automatisés prennent involontairement des décisions discriminatoires.
52 Ni la loi ni le message relatif à la LPD ne mentionnent de délai précis dans lequel le droit à un réexamen par une personne physique doit être exercé. Pour les particuliers, il n’est pas possible de fixer un délai de manière générale ; celui-ci résultera des circonstances propres à chaque cas. Les organes fédéraux peuvent s’inspirer des délais de réexamen, car ceux-ci confèrent un droit similaire. La demande de réexamen n’est en principe soumise à aucun délai, sous réserve des dispositions légales spéciales. Toutefois, au regard du principe de légalité et afin d’éviter tout arbitraire, il semble judicieux qu’un délai soit explicitement fixé, au moins au niveau de l’ordonnance.
IV. Exceptions (al. 3)
53 L’art. 21, al. 3, LPD prévoit, pour les décisions individuelles automatisées, deux cas d’exception dans lesquels ni l’obligation d’informer ni les droits supplémentaires de la personne concernée ne s’appliquent. Comme le soulignent à juste titre Vasella et Henseler, compte tenu de la clarté de la disposition légale et de la place systématique de la norme, il y a lieu de considérer que les exceptions à l’obligation d’informer prévues à l’art. 20 LPD concernant la collecte de données à caractère personnel ne sont pas transposables à l’obligation d’information relative aux décisions individuelles automatisées au sens de l’art. 21, al. 1, LPD. Cette distinction est également confirmée par le libellé de l’art. 20, al. 1, LPD. Même si une décision individuelle automatisée repose sur une base légale (cf. art. 20, al. 1, let. b, LPD), le responsable du traitement ne peut invoquer une exception à l’obligation d’information prévue à l’art. 21, al. 1, LPD.
54 La première exception prévue à l’art. 21, al. 3, let. a, LPD s’applique lorsque la décision individuelle automatisée est directement liée à la conclusion ou à l’exécution d’un contrat entre le responsable du traitement et la personne concernée et qu’elle correspond entièrement à la demande de cette dernière. Dans une telle configuration, le législateur a considéré que la personne concernée n’avait aucun intérêt digne de protection à obtenir des informations supplémentaires ou à exercer d’autres droits.
55 L’art. 21, al. 3, let. b, LPD mentionne comme deuxième exception le consentement explicite de la personne concernée à la décision individuelle automatisée. Les travaux préparatoires ne contiennent pas d’informations détaillées sur les exigences auxquelles doit satisfaire ce consentement. Selon la conception du législateur, un consentement valable présuppose au moins une information préalable et suffisante. Divers auteurs de la doctrine partent toutefois du principe que les conditions générales relatives au consentement à un traitement de données s’appliquent également dans le contexte des décisions individuelles automatisées.
V. Décision individuelle automatisée prise par un organe fédéral (al. 4)
56 Enfin, l’art. 21, al. 4, LPD contient une disposition particulière applicable aux organes fédéraux au sens de l’art. 5, let. i, LPD. Cette disposition leur impose l’obligation de signaler les décisions individuelles automatisées (A.). Elle prévoit en outre, dans certains cas, la non-applicabilité de l’art. 21, al. 2, LPD (B.). Cette disposition n’autorise toutefois pas les organes fédéraux à prendre des décisions individuelles automatisées en raison de l’absence de norme spécifique (C.).
A. Obligation de signalement
57 L’obligation de signalement des décisions rendues de manière automatisée a pour but de permettre à la personne concernée de reconnaître que la décision n’a pas été prise par une personne physique. La personne concernée dispose en principe d’un recours contre ces décisions. Le signalement lui permet d’exercer, dans le cadre de la procédure de recours, son droit d’être entendue (art. 29, al. 2, Cst.), en pouvant exposer son point de vue et en faisant réexaminer la décision par une personne physique.
58 La question se pose de savoir comment l’obligation de signalement s’articule avec l’obligation d’information prévue à l’art. 21, al. 1, LPD. En effet, contrairement à l’obligation d’information relative à la collecte de données à caractère personnel prévue à l’art. 19, al. 1, LPD, cette dernière ne s’éteint pas lorsque le traitement est prévu par la loi (art. 20, al. 1, let. b, LPD). Étant donné que les décisions individuelles automatisées au sein de l’administration doivent à l’avenir être introduites notamment dans le cadre de procédures de masse (cf. N. 16), on peut se demander comment le responsable public doit s’acquitter de l’obligation d’information (dans chaque cas particulier). L’indication, en revanche, semble plus ciblée au regard de l’économie de la procédure.
59 La mention doit figurer de manière évidente et facilement identifiable sur la décision automatisée. Selon l’avis défendu ici, il est jugé judicieux de placer cette mention après le contenu proprement dit de la décision, mais avant les voies de recours. La personne concernée apprend ainsi dans un premier temps que la décision a été prise de manière automatisée, avant d’être informée de ses possibilités de recours. Cela correspond à un ordre de lecture naturel. Si la mention figurait après les voies de recours, il y aurait un risque que la personne concernée ne prenne connaissance de cette information que trop tard, voire pas du tout, et qu’elle prenne ainsi une décision non éclairée quant à la voie de recours à engager.
B. Non-applicabilité de l’art. 21, al. 2, LPD
60 Les droits de la personne concernée, prévus à l’art. 21, al. 2, LPD, de faire valoir son point de vue et de faire réexaminer la décision individuelle automatisée par une personne physique s’appliquent en principe également aux décisions individuelles automatisées rendues par des organes fédéraux. Conformément à l’art. 21, al. 4, de la LPD, ces droits ne s’appliquent toutefois pas lorsque la personne concernée n’a pas à être entendue en vertu de l’art. 30, al. 2, de la PA ou d’une autre loi fédérale.
61 L’art. 30 de la PA précise le droit d’être entendu prévu à l’art. 29, al. 2, de la PA. Conformément à l’al. 1, les parties doivent en principe être entendues avant le prononcé d’une décision. Ce droit est restreint à l’al. 2. Il existe par exemple des exceptions au droit d’être entendu lorsqu’une décision est susceptible de recours (art. 30, al. 2, let. b, PA) ou lorsque les autorités font pleinement droit aux conclusions des parties (art. 30, al. 2, let. c, PA) . Cette disposition vise à éviter les doublons dans le processus décisionnel et à ne pas porter atteinte à la substance du droit d’être entendu. Dans le cadre de la procédure d’opposition, le droit d’être entendu peut être exercé a posteriori. En revanche, lorsque les demandes des parties sont entièrement satisfaites, cet intérêt disparaît.
62 En fin de compte, la dérogation prévue par la législation sur la protection des données a pour conséquence que la LPD n’accorde pas aux personnes concernées par une décision individuelle automatisée prise par l’État des droits plus étendus que ceux déjà prévus par la PA : si les parties doivent de toute façon être entendues conformément à l’art. 30, al. 1, PA, elles bénéficient également des droits – qui ne vont pas au-delà – de l’art. 21, al. 2, de la LPD. Si une exception au titre de l’art. 30, al. 2, de la PA s’applique et que la partie n’a pas à être entendue, celle-ci ne peut pas non plus se prévaloir du droit d’être entendu en matière de protection des données prévu à l’art. 21, al. 2, de la LPD. Les droits prévus à l’article 21, al. 2, de la LPD ont, en ce qui concerne les décisions automatisées relevant du droit fédéral, un caractère déclaratoire et ont, le cas échéant, même créé une insécurité juridique pour la personne concernée.
C. Absence d’intention générale de régularité
63 La doctrine soulève la question de savoir si, en créant l’article 21, al. 1, de la LPD, le législateur avait l’intention d’introduire en Suisse une norme générale d’admissibilité pour les décisions individuelles automatisées. Selon le Conseil fédéral, les décisions individuelles automatisées prises par l’État constituent des « décisions ordinaires » au sens de l’ l’art. 5 PA, qui sont rendues sans intervention humaine. Contrairement à la réglementation européenne, qui établit, à l’art. 22, al. 1, de la DSGVO, une interdiction de principe de l’automatisation assortie d’une réserve d’autorisation et prévoit ainsi une illicéité générale (cf. N. 69 et suivants), le droit suisse semble ainsi admettre la licéité de telles décisions sans conditions particulières. Le renvoi général à l’art. 21 LPD donne l’impression que la LPD sert de norme générale d’admissibilité pour l’adoption de décisions individuelles automatisées dans la procédure administrative suisse. Une telle intention ne peut toutefois être déduite ni du message relatif à la LPD, ni être conciliée avec le principe de légalité (art. 5, al. 1, Cst.). Ce dernier exige, outre une base légale formelle (art. 164, al. 1, Cst.), une précision suffisante de la norme. Certes, la LPD est une loi formelle, mais sa précision semble insuffisante en ce qui concerne les décisions rendues de manière entièrement automatisée. Il est en outre choquant que la disposition ne prévoie aucun domaine d’application concret, mais implique simplement l’existence de décisions individuelles automatisées.
64 À cela s’ajoute le fait que, dans le cadre de la révision totale de la LPD en 2020, d’autres lois ont été complétées par la notion de « décision individuelle automatisée ». La LPD sert ainsi de point de départ à ces renvois dans les lois (de procédure) pertinentes.
VI. Application
65 La loi prévoit tout d’abord des sanctions pénales. Ainsi, les particuliers sont passibles d’une amende pouvant aller jusqu’à 250 000 CHF s’ils fournissent, par le biais d’une décision individuelle automatisée, des informations erronées, incomplètes ou s’ils omettent de fournir toute information (voir art. 60, al. 1, let. a, LPD). Pour qu’une sanction soit prononcée, il faut qu’une plainte pénale soit déposée dans les délais et qu’il y ait intention délibérée. Le régime des amendes ne s’applique pas aux organes fédéraux.
66 En outre, la LPD prévoit des mesures de surveillance. Ainsi, les violations des obligations prévues à l’art. 21 LPD peuvent être signalées au PFPDT. Dans ce cas, le PFPDT peut obliger le responsable du traitement à fournir les informations à la personne concernée et à lui accorder la possibilité d’exposer son point de vue ou de faire réexaminer la décision individuelle automatisée par une personne physique (voir art. 51, al. 3, let. c, LPD). Cela s’applique de la même manière aux responsables du secteur privé et du secteur public.
67 La LPD ne contient aucune disposition précisant si et comment le responsable du traitement doit corriger une décision individuelle automatisée erronée. C’est pourquoi certains lui reprochent de ne pas offrir une protection suffisante et efficace contre les conséquences des décisions individuelles automatisées. Dans le cas spécifique où la violation de l’obligation d’information et d’audition enfreint les principes de traitement prévus à l’art. 6 LPD, on peut y voir un traitement illicite des données par l’organe fédéral (art. 41, al. 1, LPD) ou une atteinte à la personnalité de la part des responsables privés (art. 30 LPD). Dans le contexte des décisions individuelles automatisées, la violation du principe de limitation de la finalité (art. 6, al. 3, LPD) est évidente. En conséquence, la personne concernée est en droit d’ d'exiger la suppression des conséquences négatives du traitement illicite des données (voir l’art. 41, al. 1, let. b, LPD pour les organes fédéraux et l’art. 32, al. 2, LPD pour les particuliers).
68 En matière d’application du droit dans le contexte du droit public, la question de savoir quel est le rapport entre le droit à la suppression mentionné ci-dessus et les voies de recours prévues par le droit de la procédure administrative en cas de violation du droit d’être entendu reste en suspens. Cette insécurité juridique tient au fait que le droit d’être entendu ou de faire réexaminer la décision, prévu à l’art. 21, al. 2 LPD ne confère pas de droits allant au-delà du droit d’être entendu existant en vertu de l’art. 30, al. 1, PA. La problématique s’accentue lorsque l’action administrative liée à l’adoption d’une décision violant les obligations prévues à l’art. 21 LPD serait qualifiée de traitement illicite de données (cf. art. 41, al. 1, LPD) . Selon la LPD, la personne concernée dispose dans ce cas de la possibilité d’exiger la suppression des conséquences d’un traitement illicite (art. 41, al. 1, let. b, LPD). Cela suggère qu’une décision rendue en violation du droit d’être entendu devrait être annulée en raison d’un traitement illicite de données. Cela remettrait notamment en cause la force de chose jugée des décisions après l’expiration des délais de recours.
VII. Remarques de droit comparé
A. Réglementation européenne (art. 22 de la DSGVO)
69 La DSGVO contient une disposition comparable à l’art. 21 de la LPD. Sous le titre « Décisions individuelles automatisées, y compris le profilage », l’art. 22, al. 1, de la DSGVO accorde à une personne concernée le droit de ne pas être soumise à une décision fondée exclusivement sur un traitement automatisé – y compris le profilage – qui produit des effets juridiques à son égard ou qui l’affecte de manière significative de façon similaire.
70 La différence par rapport à l’article 21 de la LPD réside notamment dans l’approche réglementaire. Les avis exprimés dans la doctrine juridique concernant l’article 22 de la DSGVO divergent quant à savoir si la disposition européenne interdit en principe les décisions individuelles automatisées ou si elle accorde aux personnes concernées un droit d’opposition. La Cour de justice de l’Union européenne (CJUE) à La Haye part – sans grande justification – d’une interdiction de principe des décisions individuelles automatisées. En comparaison, le libellé de l’article 21, al. 1, de la LPD autorise en principe les décisions automatisées.
71 L'article 22, al. 2, de la DSGVO autorise toutefois les décisions individuelles automatisées à titre exceptionnel – et de manière exhaustive – lorsque la décision est nécessaire à la conclusion ou à l'exécution d'un contrat entre la personne concernée et le responsable du traitement (let. a), si elle est autorisée en vertu de dispositions législatives de l’Union ou des États membres auxquelles le responsable du traitement est soumis et que ces dispositions prévoient des mesures appropriées pour garantir les droits et libertés ainsi que les intérêts légitimes de la personne concernée (let. b) ou si elle est prise avec le consentement explicite de la personne concernée (let. c). Dans l’ensemble, la réglementation suisse est donc moins restrictive que la DSGVO.
72 Conformément à l’art. 22, al. 3, de la DSGVO, le responsable du traitement prend, dans les cas visés à l’art. 22, al. 2, let. a et c, de la DSGVO, des mesures appropriées afin de préserver les droits et libertés ainsi que les intérêts légitimes de la personne concernée, ce qui comprend au moins le droit d’obtenir l’intervention d’une personne de la part du responsable du traitement, d’exposer son point de vue et de contester la décision. D’autres exigences relatives à la décision individuelle automatisée découlent d’une multitude d’autres dispositions de la DSGVO, telles que les obligations d’information et le droit d’accès. Sur le fond, le droit européen va au-delà de l’article 21 de la LPD.
73 Enfin, l’article 22, al. 4, de la DSGVO prévoit, contrairement à la réglementation de la LPD, des restrictions particulières pour les données personnelles « nécessitant une protection particulière » (selon la terminologie suisse).
B. Casuistique
74 La LPD introduit la notion de décision individuelle automatisée dans le droit suisse. À ce jour, il n’existe aucune jurisprudence sur ce sujet en Suisse. Même si la LPD (suisse) et la DSGVO (européenne) consacrent des principes différents en matière de recours aux décisions individuelles automatisées – la LPD part du principe de l’admissibilité de telles décisions, tandis que la DSGVO établit une règle d’interdiction assortie d’une réserve d’autorisation (cf. N. 69 et suivants) – et que la pratique de l’UE ne peut donc pas être reprise sans réserve, celle-ci fournit néanmoins des indications pour la Suisse.
1. Distinction entre décisions partiellement et entièrement automatisées
75 L’art. 21 de la LPD contient exclusivement des dispositions relatives aux décisions individuelles entièrement automatisées (cf. N. 20 s.). Les premiers exemples issus de l’espace européen montrent que la distinction par rapport aux décisions partiellement automatisées peut s’avérer difficile. Deux exemples sélectionnés, qui ont fait l’objet d’un examen par la CJUE, sont présentés ci-après à ce sujet.
a. Autriche : l’algorithme AMAS
76 Dans un premier exemple, la mise en œuvre à titre expérimental du « système d’assistance aux opportunités sur le marché du travail » (AMAS) automatisé par le Service autrichien de l’emploi (AMS) a entraîné une discrimination systématique à l’égard des femmes et des personnes en situation de handicap. Le système triait (de manière automatisée) les candidatures correspondant à une offre d’emploi en s’appuyant sur les données issues des dossiers de candidature des vingt dernières années. Les hommes ayant été embauchés plus fréquemment que les femmes par le passé, ces dernières (ainsi que les personnes en situation de handicap) n’étaient tout simplement pas convoquées à un entretien d’embauche. L’autorité autrichienne chargée de la protection des données est intervenue contre cette pratique. En décembre 2020, la Cour administrative fédérale autrichienne a rendu une décision concernant l’AMAS. Cette affaire ne portait pas en premier lieu sur l’interdiction de la discrimination, mais sur la question de la base juridique justifiant l’utilisation de l’AMAS. La réponse à cette question dépendait en fin de compte du fait que la procédure en question soit un processus entièrement automatisé ou partiellement automatisé, car ceux-ci sont soumis à des exigences différentes.
77 Les parties ont avancé les arguments divergents suivants :
78 La juridiction autrichienne a suivi l’argumentation du Service de l’emploi. Elle a estimé que la directive était précise quant au déroulement de la procédure et qu’elle stipulait que la valeur calculée de manière automatisée devait être discutée lors d’un entretien de conseil avec les demandeurs d’emploi. La juridiction a donc qualifié la procédure d’automatisation partielle.
79 Pour la jurisprudence suisse, cela peut constituer une indication selon laquelle, pour distinguer l’automatisation partielle et de l’automatisation complète, le fait qu’une personne physique soit impliquée dans la procédure ne doit pas nécessairement être le critère déterminant. Il convient plutôt de prendre en compte l’ensemble des circonstances propres à chaque cas particulier.
b. Allemagne : l’exemple de la Schufa
80 La Schufa est un organisme regroupant des établissements de crédit allemands et d’autres entreprises, auprès duquel les cocontractants peuvent obtenir des renseignements sur des emprunteurs potentiels. Elle fournit, sur demande, un score ou une note censé indiquer dans quelle mesure la personne concernée s’acquitte de ses obligations de paiement de manière fiable.
81 Après que certaines personnes en Allemagne eurent intenté une action en justice contre la Schufa, notamment parce que leurs données n’avaient pas été effacées et qu’elles n’avaient pas obtenu l’accès à leurs données, le tribunal administratif de Wiesbaden a saisi la CJUE afin de déterminer si le scoring de la Schufa constituait une décision fondée sur un traitement automatisé – y compris le profilage – au sens de l’article 22 de la DSGVO.
82 La CJUE a statué le 7 décembre 2023 que le scoring de la Schufa relevait de l’article 22 de la DSGVO relatif aux décisions automatisées. Elle a estimé que les trois conditions suivantes, qui doivent être remplies cumulativement en vertu de l’article 22, al. 1, de la DSGVO, étaient réunies :
Décision : la CJUE a considéré que le scoring de crédit, en tant que fondement du refus de crédit qui s’ensuit, constituait (également) une décision, d’autant plus que les décisions peuvent également inclure des mesures et que, par conséquent, cette notion doit être interprétée au sens large. Selon la CJUE, une interprétation plus restrictive comporte le risque d’un contournement de l’article 22 de la DSGVO, puisque, par exemple, le calcul du score de crédit ne serait pas soumis aux exigences relatives au traitement de catégories particulières de données à caractère personnel (article 22, al. 4, de la DSGVO).
Traitement de données exclusivement automatisé : cette condition est remplie, d’autant plus que les traitements de données effectués par la Schufa constituent un profilage au sens de l’article 4, point 4 DSGVO et que la valeur de probabilité a en outre été déterminée de manière entièrement automatisée.
Effet juridique ou atteinte substantielle : Étant donné que la Schufa a fondé son action, et donc le refus du crédit, de manière déterminante sur la valeur de probabilité issue de l’évaluation de solvabilité, il y a atteinte substantielle à la personne concernée.
83 Cet arrêt étend l’applicabilité de l’article 22 de la DSGVO au scoring de crédit effectué par la Schufa, qui intervient avant la décision proprement dite de refus du crédit. La CJUE exige toutefois, à titre restrictif, que la décision automatisée de refus du crédit se fonde de manière déterminante sur le scoring de crédit, considéré comme une sorte de décision préliminaire. Les conséquences de cette décision sont d’autant plus importantes que les décisions automatisées au sens de l’article 22, al. 1, de la DSGVO sont, en principe, considérées comme interdites. Une exception ne s’applique que si la décision, conformément à l’al. 2, est :
nécessaire à la conclusion ou à l’exécution d’un contrat entre la personne concernée et le responsable du traitement (let. a) ;
autorisée en vertu du droit de l’Union ou du droit des États membres (let. b) ;
prise avec le consentement explicite de la personne concernée (let. c).
2. Concernant l’atteinte substantielle au sens de l’article 21, al. 2, de la LPD
84 La question de la gravité de l’atteinte subie par la personne concernée du fait d’une décision individuelle automatisée ne peut être appréciée qu’au regard des circonstances propres à chaque cas. Trois cas survenus aux Pays-Bas permettront d’illustrer quand une atteinte est substantielle ou non.
a. Pays-Bas : le système SyRI
85 En 2014, une loi instaurant le système de lutte contre la fraude SyRI (Systeem Risico Indicatie) a été adoptée aux Pays-Bas. SyRI était un outil algorithmique de détection de la fraude, limité aux quartiers néerlandais dont la population était touchée par la pauvreté ou comptait des minorités, et qui établissait des profils de risque pour des individus afin de détecter différentes formes de fraude – notamment dans les domaines fiscal et des prestations sociales. En 2020, un tribunal néerlandais a ordonné l’arrêt immédiat du programme, au motif qu’il violait la CEDH.
86 Bien que le système ne rendît pas de décision individuelle automatisée, cette affaire illustre clairement les cas dans lesquels il y a manifestement atteinte substantielle. En effet, selon les considérations judiciaires, un tel signalement de risque a déjà un impact substantiel sur la vie privée de la personne concernée.
b. Tribunal d’arrondissement d’Amsterdam : service de taxi Uber
87 Une action en justice a été intentée contre le service de taxi Uber pour violation de l’article 22 de la DSGVO, après qu’Uber eut fait bloquer automatiquement les comptes de conductrices et conducteurs soupçonnés d’activités frauduleuses. Étant donné que ceux-ci pouvaient faire réactiver leurs comptes après vérification, le tribunal d’arrondissement a écarté toute violation de l’article 22 de la DSGVO. La suspension temporaire des comptes n’entraînait pas de conséquences graves, à long terme ou durables, comme l’exige l’article 22 de la DSGVO. De plus, les données collectées étaient des données factuelles, telles que la localisation et le trafic, qui sont enregistrées indépendamment du comportement du conducteur.
c. Tribunal d’arrondissement d’Amsterdam : application Ola
88 L’application « Ola » avait imposé à ses utilisateurs des retenues sur le prix du trajet ou des amendes sur la base des données collectées par le système. Le tribunal d’arrondissement a confirmé l’existence d’effets significatifs au sens de l’article 22 de la DSGVO. L’imposition d’amendes a eu des conséquences immédiates et définitives pour les personnes concernées. De plus, des « données de performance » exhaustives, se rapportant au comportement général et continu d’une personne, ont été collectées.
3. Enseignements pour le droit suisse
89 La distinction entre une décision individuelle entièrement automatisée au sens de l’art. 21, al. 1, LPD et une décision partiellement automatisée pourrait s’avérer difficile à établir dans la pratique. La marge de manœuvre décisionnelle humaine dans chaque cas particulier peut constituer un indice. Si celle-ci est importante, il y a lieu de partir du principe qu’il s’agit d’une décision partiellement automatisée. De même, les directives internes à l’administration, la formation des collaborateurs ainsi que la possibilité pour les personnes concernées de faire valoir leurs arguments peuvent constituer des indices de l’existence d’une décision individuelle partiellement automatisée. Dans les deux cas, l’art. 21 LPD n’est pas applicable. En revanche, si une décision est prise par un tiers, il peut tout de même s’agir d’une décision individuelle automatisée au sens de l’art. 21 LPD.
90 De même, il peut s’avérer difficile de tracer une distinction entre les décisions qui entraînent une atteinte considérable et celles qui n’en entraînent pas. Les aspects suivants peuvent servir à la classification :
le caractère immédiat de l’impact de la décision sur la personne concernée ;
le caractère temporaire ou définitif de la décision ;
l’influence potentielle de la décision sur le comportement ou la prise de décision de la personne concernée ;
la question de la restriction d’éventuelles sources de revenus ou d’une éventuelle perte financière pour la personne concernée.
VIII. Perspectives
91 L’automatisation des processus et des procédures décisionnelles progresse rapidement tant dans le secteur privé que dans le secteur public. Le Conseil fédéral part ainsi du principe que les décisions automatisées seront à l’avenir plus fréquentes. L’article 21 de la LPD oblige les responsables du traitement à informer les personnes concernées des décisions individuelles automatisées et à leur accorder certains droits de protection. Il semble toutefois critique que ces obligations ne s’appliquent qu’aux décisions entièrement automatisées. Les décisions partiellement automatisées (aide à la décision ou contrôle des décisions) ne relèvent pas du champ d’application de la norme. Cela pose problème, car de tels systèmes sont plus répandus dans la pratique et peuvent, selon la complexité de l’algorithme utilisé, avoir une influence considérable sur le résultat de la décision. Il en résulte des lacunes en matière de protection, notamment en ce qui concerne la transparence et la protection des droits fondamentaux. Dans ce contexte, il s’impose d’étendre le champ d’application de l’article 21 de la LPD aux décisions partiellement automatisées. Cette préoccupation a été reprise dans le débat juridique sur l’utilisation des systèmes automatisés. Par ailleurs, la nécessité d’agir a également été prise en compte dans le processus législatif.
Bibliographie
Alon Barkat Saar/Busuioc Madalina, Human-AI Interactions in Public Sector Decision Making : « Automation Bias » and « Selective Adherence » to Algorithmic Advice, JPART 33 (2023), S. 153 ff.
Alpaydin Ethem, Machine Learning, Cambridge 2016.
Bieri Adrian/Powell Julian, Kommentierung zu Art. 21 DSG, in: Bieri Adrian/Powell Julian (Hrsg.), Orell Füssli Kommentar, Datenschutzgesetz, Zürich 2023.
Bieri Adrian/Powell Julian, Informationspflicht nach dem totalrevidierten Datenschutzgesetz, AJP 12 (2020), S. 1533–1542.
Braun Binder Nadja, Künstliche Intelligenz und automatisierte Entscheidungen in der öffentlichen Verwaltung, SJZ 115 (2019), S. 467–476 (zit. Künstliche Intelligenz).
Braun Binder Nadja, Als Verfügungen gelten Anordnungen der Maschinen im Einzelfall…–Dystopie oder künftiger Verwaltungsalltag?, ZSR 139 (2020), S. 253–278 (zit. Dystopie).
Braun Binder Nadja, Automatisierte Entscheidungen: Perspektive Datenschutzrecht und öffentliche Verwaltung, SZW 2020, S. 27–34 (zit. Automatisierte Entscheidungen).
Braun Binder Nadja, Staat, Mensch, Algorithmus, BJM 2023, S. 2–19 (zit. Staat).
Braun Binder Nadja, Der Untersuchungsgrundsatz als Herausforderung automatisierter Verfahren, zsis) 2020, abrufbar unter https://www.zsis.ch/artikel/der-untersuchungsgrundsatz-als-herausforderung-vollautomatisierter-verfahren, besucht am 19.3.2026 (zit. Untersuchungsgrundsatz).
Braun Binder Nadja, Algorithmic Regulation – Der Einsatz algorithmischer Verfahren im staatlichen Steuerungskontext, in: Hermann Hill/Joachim Wieland (Hrsg.), Zukunft der Parlamente: Speyer Konvent in Berlin, Berlin 2018, S. 107–120 (zit. Algorithmic Regulation).
Braun Binder et al., Künstliche Intelligenz: Handlungsbedarf im Schweizer Recht, Jusletter vom 28.6.2021 (zit. Handlungsbedarf).
Braun Binder Nadja et al., Einsatz Künstlicher Intelligenz in der Verwaltung: rechtliche und ethische Fragen, Schlussbericht vom 28. Februar 2021 zum Vorprojekt IP6.4, abrufbar unter https://www.zh.ch/content/dam/zhweb/bilder-dokumente/themen/politik-staat/kanton/digitale-verwaltung-und-e-government/projekte_digitale_transformation/ki_einsatz_in_der_verwaltung_2021.pdf, besucht am 19.3.2026 (zit. Studie 2021).
Braun Binder Nadja/Obrecht Liliane, Algorithmisch überprüfte Steuererklärung im ordentlichen gemischten Veranlagungsverfahren, zsis 2023, abrufbar unter https://www.zsis.ch/artikel/algorithmisch-ueberpruefte-steuererklaerung-im-ordentlichen-verfahren, besucht am 19.3.2026.
Braun Binder Nadja/Thouvenin Florent/Volz Stephanie/Obrecht Liliane, Schutz vor algorithmischer Diskriminierung, Rechtsgutachten, November 2025, abrufbar unter https://www.ekr.admin.ch/pdf/D_Gutachten_Schutz_vor_algorithmischer_Diskriminierung.pdf, besucht am 19.3.2026.
Braun Binder Nadja/Ulbrich Christian, Die grosse Verwirrung – KI und Automatisierung in Staat und Wirtschaft, NZZ 27.4.2023, abrufbar unter https://www.nzz.ch/meinung/die-grosse-verwirrung-ki-und-automatisierung-in-staat-und-wirtschaft-ld.1729694, besucht am 19.3.2026.
Büyüksagis Erdem, Décisions algorithmiques: mieux vaut responsabiliser qu’informer, REAS 2020, S. 225–242 (zit. Décisions algorithmiques).
Büyüksagis Erdem, Responsabilité pour les systèmes d’intelligence artificielle, REAS 2021, S. 12–24 (zit. Responsabilité).
Bull Hans Peter, Verwaltung durch Maschinen, Köln/Berlin 1964.
Christen Markus et al., Wenn Algorithmen für uns entscheiden: Chancen und Risiken der künstlichen Intelligenz, TA-SWISS Studie, April 2020.
Daedelow Romy, Wenn Algorithmen (unfair) über Menschen entscheiden…, Jusletter 26.11.2018.
Dentand Claire, Wer soll entscheiden: Maschine oder Mensch?, Jusletter IT 30.9.2021.
Epiney Astrid, Kommentierung zu Art. 5 BV, in: Waldmann Bernhard/Belser Eva Maria/Epiney Astrid (Hrsg.), Basler Kommentar, Bundesverfassung, 2. Aufl., Basel 2025.
Ernst Christian, Algorithmische Entscheidungsfindung und personenbezogene Daten, JuristenZeitung 21 (2017), S. 1026–1036.
Ernst Hartmut/Schmidt Jochen/Beneken Gerd, Grundkurs Informatik, 8. Aufl., Wiesbaden 2023.
Flueckiger Christian, Kommentierung zu Art. 21 DSG, in: Meier Philippe/Métille Sylvain (Hrsg.), Loi sur la protection des données, Commentaire Romand, Basel 2023.
Glaser Andreas, Einflüsse der Digitalisierung auf das schweizerische Verwaltungsrecht, SJZ 114 (2018), S. 181–190.
Glatthaar Matthias, Robot Recruiting, SZW 2020, S. 43–52.
Gordon Clara-Ann/Lutz Tanja, Haftung für automatisierte Entscheidungen – Herausforderungen in der Praxis, SZW 2020, S. 53–61.
Häfelin Ulrich/Müller Georg/Uhlmann Felix, Allgemeines Verwaltungsrecht, 8. Aufl., Zürich 2020.
Henseler Simon, EuGH C-634/21 – Anträge GA: Kreditscore (der SCHUFA) als automatisierte Entscheidung, https://datenrecht.ch/eugh-c-634-21-antraege-ga-kreditscore-der-schufa-als-automatisierte-entscheidung/, besucht am 12.5.2023 (zit. EuGH).
Henseler Simon, Datenschutz beim Kreditscoring von Auskunfteien: Eine Untersuchung zum Profiling (mit hohem Risiko) und zur automatisierten Entscheidung, Zürich 2025, abrufbar unter https://eizpublishing.ch/wp-content/uploads/2025/09/Datenschutz-beim-Kreditscoring-von-Auskunfteien-Digital-V1_02-20250814.pdf, besucht am 19.3.2026 (zit. Kreditscoring ).
Kiener Regina/Rütsche Bernhard/Kuhn Matthias, Öffentliches Verfahrensrecht, 3. Aufl., Zürich 2021.
Konrad Lischka/Anita Klingel, Wenn Maschinen Menschen bewerten, Internationale Fallbeispiele für Prozesse algorithmischer Entscheidungsfindung, Arbeitspapier, Gütersloh 2017, abrufbar unter https://www.bertelsmann-stiftung.de/doi/10.11586/201702, besucht am 19.3.2026.
Lötscher Cordula, Wenn das Auto den Laster nicht sieht, Jusletter IT 24.11.2016.
Martini Mario, Blackbox Algorithmus: Grundfragen einer Regulierung Künstlicher Intelligenz, Berlin 2019.
Mathys Roland/Reinhart Helen, Bestimmung von Vertragskonditionen im Rahmen automatisierter Entscheidungen, SZW 2020, S. 35–42.
Mehmedovic Senida, Le droit d’accès à une décision individuelle automatisée, Jusletter 19.9.2022.
Meyer Christian, Digitale Formulare als Angelpunkt automatisierter Verwaltungsverfahren, ZSR I 2022, S. 365–383.
Morand Anne-Sophie, Warum das europäische KI-Gesetz auch die Schweiz betrifft, Interview in der Netzwoche mit René Jaun, 10. Mai 2023, abrufbar unter https://www.netzwoche.ch/interviews/2023-05-10/warum-das-europaeische-ki-gesetz-auch-die-schweiz-betrifft, besucht am 19.3.2026 (zit. Interview).
Obrecht Liliane, Verfügung und automatisierte Einzelentscheidung – same same but different?, ex/ante, 2022 Nr. 2, S. 38–45.
Pärli Kurt/Flück Nathalie, Kommentierung zu Art. 21 DSG, in Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Stämpflis Handkommentar, Datenschutzgesetz (DSG), 2. Aufl., Bern 2023.
Pesapane Filippo/Codari Marina/Sardanelli Francesco, Artificial intelligence in medical imaging: threat or opportunity? – Radiologists again at the forefront of innovation in medicine, EurRadiol Exp 2018, abrufbar unter https://doi.org/10.1186/s41747-018-0061-6, besucht am 19.3.2026.
Plattner Roger, Digitales Verwaltungshandeln, Zürich 2021, abrufbar unter https://suigeneris-verlag.ch/img/uploads/pdf/oa_pdf-021-1633456506.pdf, besucht am 19.3.2026.
Powell Julian/Obrecht Liliane, Regelung automatisierter Einzelentscheidungen im Lichte der KI-Konvention des Europarates, SJZ 122 (2026), S. 287–299.
Prince Anya E.R./Schwarcz Daniel, Proxy Discrimination in the Age of Artificial Intelligence and Big Data, Iowa Law Review 2020, S. 1257–1318.
Räz Tim, COMPAS: zu einer wegweisenden Debatte über algorithmische Risikobeurteilung, Forensische Psychiatrie, Psychologie, Kriminologie 2022, S. 300–306.
Rechsteiner David, Der Algorithmus verfügt, Jusletter 26.11.2018.
David Rosenthal, Der Entwurf für ein neues Datenschutzgesetz, in: Jusletter 27.11.2017 (zit. Entwurf).
Rosenthal David, Das neue Datenschutzgesetz, Jusletter 16.11.2020 (zit. nDSG).
Roth Simon, Die automatisierte Einzelentscheidung, digma 2017, S. 104–109.
Škorjanc Žiga, Automatisierte Kreditentscheidungen, CB 2020, S. 70–74.
Schindler Benjamin, Kommentierung zu Art. 5 BV, in: Ehrenzeller Bernhard et al. (Hrsg.), St. Galler Kommentar, Bundesverfassung, 4. Aufl., Zürich/St. Gallen 2023 (zit. SGK).
Schmidt Christoph, Quo vadis, Finanzverwaltung? Potenziale und Herausforderungen eines künftigen behördlichen KI-Einsatzes, Teil I: Entscheidungsunterstützung im Rahmen der hybridgen Fallbearbeitung, REthinking tax, Januar 2022, S. 70–81 (zit. Teil I).
Schmidt Christoph, Quo vadis, Finanzverwaltung? Potenziale und Herausforderungen eines künftigen behördlichen KI-Einsatzes, Teil II: Spezifische Chancen und Problemfelder der vollständigen Entscheidungsautomatisierung im Überblick, REthinking tax, September 2022, S. 31–42 (zit. Teil II).
Stöcklin Fabia, Robot Recruiting, sui generis 2022, abrufbar unter https://sui-generis.ch/article/view/4045/2949, besucht am 19.3.2026.
Styczynski Zbigniew A./Rudion Krzysztof/Naumann André, Einführung und Grundbegriffe der Expertensysteme, in: Styczynski Zbigniew A./Rudion Krzysztof/Naumann André (Hrsg.), Einführung in Expertensysteme, Berlin 2017, S. 1–20.
Thouvenin Florent et al., Positionspapier «Ein Rechtsrahmen für Künstliche Intelligenz», Zürich 2021, abrufbar unter https://www.dsi.uzh.ch/de/research/projects/strategy-lab/strategy-lab-21.html, besucht am 19.3.2026.
Thouvenin Florent/Früh Alfred, Automatisierte Entscheidungen: Grundfragen aus der Perspektive des Privatrechts, SZW 2020, S. 3–17.
Thouvenin Florent/Früh Alfred/George Damian, Datenschutz und automatisierte Entscheidungen, Jusletter 26.11.2018.
Thouvenin Florent/Früh Alfred/Henseler Simon, Article 22 GDPR on Automated Individual Decision-Making: Prohibition or Data Subject Right?, EDPL 2 (2022), S. 183–198.
Thurnherr Daniela, Automatisierte Verwaltungsverfahren auf Bundesebene, in: Braun Binder Nadja/Bussjäger Peter/Eller Mathias (Hrsg.), Auswirkungen auf die Erlassung und Zuordnung behördlicher Entscheidungen, Wien/Hamburg 2021, S. 133–157.
Tsai Chun-Wie/Lai Chin-Feng/Chao Han-Chieh/Vasilakos Athanasios V., Big data analytics: a survey, Journal of Big Data 2015, abrufbar unter https://link.springer.com/article/10.1186/s40537-015-0030-3, besucht am 19.3.2026.
Vasella David/Henseler Simon, Kommentierung von Art. 21 DSG, in Blechta Gabor-Paul/Vasella David (Hrsg.), Basler Kommentar, Datenschutzgesetz/Öffentlichkeitsgesetz, 4. Aufl., Basel 2014 (zit. BSK).
Waldmann Bernhard, Kommentierung zu Art. 29 BV, in: Waldmann Bernhard/Belser Eva Maria/Epiney Astrid (Hrsg.), Basler Kommentar, Bundesverfassung, 2. Aufl., Basel 2025.
Weber Rolf H., Automatisierte Entscheidungen: Perspektive Grundrechte, SZW 2020, S. 18–26 (zit. Grundrechte).
Weber Rolf H., Dürfen Maschinen über Menschen entscheiden?, Eine rechtliche Auslegeordnung im Lichte neuer Technologien, Schweizer Monat 2019, Ausgabe 1063, S. 72–74 (zit. Maschinen).
Weder Regina, Verfahrensgrundrechtliche Anforderungen an automatisierte Verwaltungsverfahren, in: Simmler Monika (Hrsg.), Smart Criminal Justice, Basel 2021, S. 237–262.
Wiederkehr René/Meyer Christian, Schranken, Ausnahmen und Relativierungen des rechtlichen Gehörs: Insbesondere mit Blick auf automatisierte Verwaltungsverfahren, AJP 2022, S. 1092–1108.
Wiederkehr René/Meyer Christian/Böhme Anna, Orell Füssli Kommentar, Bundesgesetz über das Verwaltungsverfahren und weiteren Erlassen, Zürich 2022.
Winkler Markus, Credit Scoring, AML Software & Risk Profiling: Automatisierte Entscheidungen im Rahmen von Finanzdienstleistungen, SZW 2020, S. 62–72.
Matériaux
Bundesamt für Justiz, Rechtliche Basisanalyse im Rahmen der Auslegung zu den Regulierungsansätzen im Bereich künstliche Intelligenz, August 2024 (zit. BJ, Rechtliche Basisanalyse).
Botschaft zur Änderung des Schwerverkehrsabgabegesetzes und zum Verpflichtungskredit für die Finanzierung eines neuen Systems für die Erhebung der leistungsabhängigen Schwerverkehrsabgabe vom 31. August 2022, BBl 2022 2323 (zit. Botschaft SVAG 2022).
Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15. September 2017, BBl 6941 7192 ff. (zit. Botschaft DSG 2017).
bitkom e.V. - Bundesverband Informationswirtschaft, Telekommunikation und neue Medien e.V., Entscheidungsunterstützung mit Künstlicher Intelligenz, Berlin 2017, abrufbar unter https://www.bitkom.org/sites/main/files/file/import/171012-KI-Gipfelpapier-online.pdf, besucht am 19.3.2026.
Bundesamt für Justiz, Erläuternder Bericht zum Vorentwurf für das Bundesgesetz über die Totalrevision des Datenschutzgesetzes und die Änderung weiterer Erlasse zum Datenschutz vom 21. Dezember 2017 (zit. Erläuternder Bericht Vorentwurf DSG).
Botschaft zur Änderung des Bundesgesetzes über den Datenschutz (DSG) und zum Bundesbeschluss betreffend den Beitritt der Schweiz zum Zusatzprotokoll vom 8. November 2001 zum Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten bezüglich Aufsichtsbehörden und grenzüberschreitende Datenübermittlung vom 19. Februar 2003, BBl 2003 2101 (zit. Botschaft DSG 2003).
Richtlinien für die Bearbeitung von Personendaten in der Bundesverwaltung vom 16. März 1981, BBl 1981 I 1298 (zit. Richtlinien 1981).