-
- Art. 5a Cst.
- Art. 6 Cst.
- Art. 10 Cst.
- Art. 16 Cst.
- Art. 17 Cst.
- Art. 22 Cst.
- Art. 29a Cst.
- Art. 30 Cst.
- Art. 32 Cst.
- Art. 42 Cst.
- Art. 43 Cst.
- Art. 43a Cst.
- Art. 55 Cst.
- Art. 56 Cst.
- Art. 60 Cst.
- Art. 68 Cst.
- Art. 75b Cst.
- Art. 96 al. 2 lit. a Cst.
- Art. 110 Cst.
- Art. 117a Cst.
- Art. 118 Cst.
- Art. 123b Cst.
- Art. 136 Cst.
- Art. 166 Cst.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 701 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Dispositions transitoires relatives à la révision du droit de la société anonyme du 19 juin 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 LDP
- Art. 10 LDP
- Art. 10a LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b PRA
- Art. 59c LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 5 lit. f und g LPD
- Art. 6 al. 6 et 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 19 LPD
- Art. 20 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 31 al. 2 let. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 54 LPD
- Art. 58 LDP
- Art. 57 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 2 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 3 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 4 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 5 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 6 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 7 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 8 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 9 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 11 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 12 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 25 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 29 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 32 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 33 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
- Art. 34 CCC (Convention sur la cybercriminalité [Cybercrime Convention])
CONSTITUTION FÉDÉRALE
CODE DES OBLIGATIONS
LOI FÉDÉRALE SUR LE DROIT INTERNATIONAL PRIVÉ
CONVENTION DE LUGANO
CODE DE PROCÉDURE PÉNALE
CODE DE PROCÉDURE CIVILE
LOI FÉDÉRALE SUR LES DROITS POLITIQUES
CODE CIVIL
LOI FÉDÉRALE SUR LES CARTELS ET AUTRES RESTRICTIONS À LA CONCURRENCE
LOI FÉDÉRALE SUR L’ENTRAIDE INTERNATIONALE EN MATIÈRE PÉNALE
LOI FÉDÉRALE SUR LA PROTECTION DES DONNÉES
LOI FÉDÉRALE SUR LA POURSUITE POUR DETTES ET LA FAILLITE
CODE PÉNAL SUISSE
CYBERCRIME CONVENTION
ORDONNANCE SUR LE REGISTRE DU COMMERCE
- En bref
- I. Généralités
- II. al. 1, consentement, intérêt prépondérant, justifications légales.
- III. al. 2
- Bibliographie
- Matériaux
En bref
[Dans l'introduction à l'article 31, par un autre rédacteur]
I. Généralités
[Généralités sur l'art. 31 ; préambule et contexte, par d'autres rédacteurs]
II. al. 1, consentement, intérêt prépondérant, justifications légales.
[ad art. 31 al. 1 ; par d'autres personnes].
III. al. 2
A. Généralités / étapes de contrôle
[Généralités sur l'al. 2 ; par un autre responsable du traitement].
B. Liste des cas légaux
1. let. a - d.
[par un autre responsable du traitement].
2. let. e, traitement à des fins non personnelles
1 Le traitement à des fins non personnelles est la disposition relative aux intérêts prépondérants qui a été la plus étendue par rapport à la disposition précédente de l'art. 13 al. 2 let. e aDSG. A côté de l'ancienne réglementation sur la publication des résultats (désormais au ch. 3 de la disposition, cf. ci-dessous n. 15), s'ajoutent une obligation d'anonymisation ou de pseudonymisation le plus tôt possible (ch. 1) ainsi que, en tant qu'élément constitutif d'une infraction qualifiée, une obligation de communiquer des données personnelles sensibles à des tiers (ch. 2). Le régulateur n'intervient donc plus seulement au moment de la publication des résultats, mais directement dans la gestion interne des processus pendant le traitement. La densité accrue de la réglementation est, d'une part, la conséquence d'une concrétisation légale de principes existants et, d'autre part, elle implique pour les responsables un renforcement des conditions lors du traitement à des fins non personnelles.
a) Finalité non personnelle en tant qu'élément constitutif de base
2 L'élément central de la disposition est le traitement à des fins non liées aux personnes. Les finalités non personnelles sont celles pour lesquelles l'identité de la personne concernée n'est pas pertinente. En d'autres termes, la finalité de l'activité est également remplie si des données anonymes ou codées étaient traitées. Il existe un vaste champ de finalités possibles de traitement pouvant relever de ce motif justificatif. Il ne s'agit pas seulement d'un grand nombre de personnes, mais le traitement des données d'une seule personne ou d'un groupe peut également servir à des fins non personnelles, tant qu'il ne s'agit que des caractéristiques et non de l'identité. L'identité de la personne concernée peut toutefois revêtir une importance pratique pour les responsables eux-mêmes, par exemple dans le domaine des études longitudinales, dans lesquelles des informations sont collectées à intervalles réguliers auprès des personnes concernées.
3 La loi elle-même ne définit pas la notion de finalité non personnelle, mais cite comme exemples la recherche privée, la statistique et la planification. La réglementation est donc également qualifiée de "privilège de la recherche" en matière de droit des données. Les exemples de planification cités dans la doctrine sont la planification démographique ainsi que la planification du territoire et des transports. Le privilège accordé à ces domaines est justifié par le fait qu'ils ne fournissent pas seulement des bases de décision importantes pour l'économie, mais qu'ils répondent également à de multiples besoins sociaux et publics. La mention des domaines n'est pas exhaustive. On peut notamment penser à l'exploitation des données d'utilisation d'Internet et d'applications ou à l'utilisation de modèles d'IA dans le contexte d'analyses de données volumineuses, où tout intérêt pour l'individu disparaît d'emblée. D'autre part, la mention explicite dans la loi ne signifie pas que le traitement des données dans les domaines de la recherche, des statistiques et de la planification sert toujours des finalités non personnelles. Comme exemple de finalités personnelles, on peut citer la médecine de précision, dans laquelle les résultats positifs des études doivent également profiter aux personnes concernées. D'autres activités à d'autres fins sont la recherche historique et généalogique, qui ne sont pas couvertes par le privilège lorsqu'elles concernent des personnes ou des groupes spécifiques.
4 La disposition règle le traitement des données par des personnes privées. Sont donc concernées la recherche pharmaceutique privée, les études cliniques privées ou menées par des organisations privées, les études de marché et la planification dans les entreprises. En vertu de l'article 40 LPD, les activités de droit privé des organes fédéraux tombent également sous le coup de cette disposition. Les activités étatiques sont régies par l'article 39 LPD, qui contient une disposition analogue concernant le traitement de données à des fins non personnelles par des organes fédéraux.
5 Il existe également des traitements qui comportent à la fois des données à caractère personnel et des données non personnelles, notamment dans le domaine de la recherche. Dans de telles activités, on peut se demander dans quelle mesure le motif justificatif peut être invoqué. Pour les organes fédéraux, l'art. 35 OLPD stipule que les exceptions prévues à l'art. 39, al. 2, LPD ne s'appliquent qu'au traitement à des fins ne se rapportant pas à des personnes. Une réglementation analogue pour les responsables privés est donc compréhensible ; elle conduit à une considération séparée du droit des données pour différents aspects d'une activité spécifique.
6 Pour les trois domaines mentionnés dans la loi et d'autres, il convient de tenir compte de la législation spéciale qui, selon l'acte législatif, va de la norme de renvoi globale à la réglementation détaillée. Il s'agit en particulier du droit de la recherche sur l'être humain (en cours de révision) avec la LRH et les actes législatifs apparentés, comme la loi sur l'enregistrement du cancer, qui contiennent leurs propres prescriptions sur la pseudonymisation ainsi que des dispositions de triage concernant l'application de la LRH et de la LPD (p. ex. art. 28 LEMO). Dans le domaine de l'approvisionnement en électricité, l'art. 17c al. 1 LApEl renvoie à la LPD en ce qui concerne les compteurs intelligents. Dans le domaine de la statistique, la législation spéciale selon la LSF s'applique dans la mesure où elle couvre des institutions privées (art. 2 al. 3 LSF, cf. également les principes selon l'art. 4 LSF).
7 En cas de traitement à des fins ne se rapportant pas à des personnes, les différentes dispositions des chiffres 1 à 3 s'appliquent. Détails des dispositions :
b) Chiffre 1, Anonymisation ou pseudonymisation (cryptage)
8 Les responsables doivent en principe anonymiser les données dès que la finalité du traitement le permet. La disposition reprend ainsi le principe de l'art. 6 al. 4 LPD tout en le relativisant par une exception. Selon cette disposition, les responsables peuvent prendre d'autres mesures appropriées pour empêcher l'identification de la personne si l'anonymisation est techniquement impossible ou implique des efforts disproportionnés. Grâce au développement de logiciels de reconnaissance biométrique, il est aujourd'hui impossible d'anonymiser des portraits de personnes, alors qu'il suffisait auparavant de placer une barre noire sur le contour des yeux. Compte tenu de l'objectif de la norme, l'exception doit être appliquée avec discernement, malgré ses conséquences techniques et financières, et nécessite une pesée des intérêts au cas par cas, qui équilibre les intérêts des personnes concernées avec le privilège voulu pour les activités en question.
9 Les mesures appropriées sont notamment la pseudonymisation, le cryptage ou la codification. La pseudonymisation joue un rôle important dans la pratique et représente en même temps un défi technique. Les exigences techniques en matière de pseudonymisation ont augmenté, notamment en ce qui concerne les données obtenues à partir de matériel biologique (bio-échantillons), c'est-à-dire de parties du corps humain telles que des tissus ou des échantillons de sang. La technologie de laboratoire, en particulier l'analyse de l'ADN, facilite l'identification, le cas échéant en combinaison avec des caractéristiques d'autres échantillons. Le droit relatif à la recherche sur l'être humain prévoit des dispositions correspondantes pour le traitement du matériel biologique et des données génétiques (art. 32 ss LRH).
10 En ce qui concerne les mesures visant à empêcher l'identification, il convient de mentionner le vaste catalogue de mesures techniques et organisationnelles figurant à l'art. 3 OLPD, notamment les règles relatives à la confidentialité et à l'intégrité. Il existe en outre différentes directives sur le cryptage, comme les directives scientifiques contraignantes de l'Office fédéral de la statistique ou les directives intersectorielles de l'Agence européenne pour la cybersécurité (Enisa). Ces directives contiennent entre autres des conditions relatives à la manipulation des codes et à la dé-pseudonymisation.
c) Chiffre 2, Communication à des tiers
11 La deuxième édition concerne le traitement de données sensibles (sur cette notion, voir le commentaire de l'art. 5 let. c LPD). Cette disposition se réfère à l'art. 30 al. 2 let. c LPD, selon lequel la communication de telles données à des tiers constitue une atteinte à la personnalité. Comme au ch. 1, un principe est posé et celui-ci est atténué par une exception. Cette exception ne figurait pas encore dans le projet de loi et a été introduite au Conseil national.
12 Si l'élément constitutif supplémentaire des données sensibles est rempli, le principe est que celles-ci ne peuvent être transmises à des tiers que de manière à ce que la personne concernée ne soit pas identifiable. Les données ne peuvent donc être transférées que sous forme anonymisée ou cryptée. La transmission de données à des tiers n'est donc pas traitée différemment de la publication (ch. 3). Le ch. 2 veut exclure que la communication de données personnelles sensibles non anonymisées soit justifiée par le fait qu'elle est effectuée à des fins de recherche, de planification ou de statistique.
13 L'exception s'applique lorsqu'il n'est pas possible de prendre des mesures pour empêcher l'identification, ce qui peut par exemple être le cas pour les données génétiques volumineuses d'une personne. Selon le texte, la disproportion de la mesure n'est pas considérée comme un motif justificatif (cf. ch. 1). En cas d'impossibilité, il faut garantir que des tiers ne traitent les données qu'à des fins ne se rapportant pas à des personnes. La disposition n'exige pas que le but du traitement soit le même chez le tiers que chez le responsable, ce qui est compréhensible compte tenu des différents domaines d'activité dans la recherche, la statistique et la planification. L'obligation de garantie incombe en premier lieu au responsable, le ch. 2 ne contenant pas de prescriptions méthodologiques pour garantir (contractuellement) l'affectation à des fins non personnelles vis-à-vis de tiers.
14 Ensuite, le message relatif à l'aDSG fait référence aux prescriptions légales en matière de confidentialité. Lorsque celles-ci interdisent la transmission de données à des tiers, elles priment en tant que réglementation spéciale, par exemple les secrets professionnels protégés par le droit pénal (p. ex. le secret médical). Les services statistiques ou les chercheurs ne peuvent donc pas justifier la transmission de données secrètes sur la base du chiffre 2. Il en va de même pour les obligations de confidentialité contractuelles ou stipulées d'une autre manière.
d) Chiffre 3, Publication des résultats
15 Le ch. 3 reprend la réglementation actuelle selon laquelle les personnes concernées ne doivent pas être identifiables lors de la publication des résultats (art. 13, al. 2, let. e, aDSG). En d'autres termes, on renonce toujours à exiger une anonymisation lors de la publication. La doctrine fait remarquer que la publication d'études ne portant que sur un petit nombre de personnes peut entraîner un risque de déductions sur la personne, par exemple dans le cas d'études sur des maladies rares ou de planifications pour des zones géographiques restreintes. Lors de la publication de résultats sur la base de données de nombreuses personnes concernées, cela semble toutefois moins problématique dans la mesure où l'identification de la personne par un être humain est plus difficile. En revanche, les systèmes de reconnaissance automatique mentionnés fonctionnent indépendamment des restrictions géographiques ou numériques, de sorte que c'est finalement le progrès technique qui augmente constamment les exigences en matière de publication des résultats.
Bibliographie
Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, 2. Aufl., Bern 2022 (zit. SHK DSG-Bearbeiter/-in).
Baeriswyl Bruno, Die Einwilligung hilft (nicht) weiter, digma 2020 S. 62 ff. (zit. Baeriswyl).
Baeriswyl Bruno, "Big Data" ohne Datenschutz-Leitplanken, digma 2013 S. 14 ff. (zit. Baeriswyl, Big Data).
Baeriswyl Bruno/Pärli Kurt (Hrsg.), Datenschutzgesetz (DSG), Stämpflis Handkommentar, Bern 2015 (zit. SHK aDSG-Bearbeiter/-in).
Kasper Gabriel, People Analytics in privatrechtlichen Arbeitsverhältnissen, Vorschläge zur wirksameren Durchsetzung des Datenschutzrechts, Zürich/St. Gallen 2021 (zit. Kasper).
Bieri Adrian/Powell Julian (Hrsg.), Orell Füssli Kommentar zum Schweizerischen Datenschutzgesetz mit weiteren Erlassen, Zürich 2023 (zit. OFK-Bearbeiter/-in).
Blechta, Gabor-Paul/Vasella, David (Hrsg.), Datenschutzgesetz /Öffentlichkeitsgesetz, DSG/BGÖ. Basler Kommentar, 4. Aufl., Basel 2024 (zit. BSK nDSG-Bearbeiter/-in).
Laux, Christian, Introduction into the legal aspects of big data (part #3: privacy aspects – basics), Swiss Data Analytics Magazine 2015/01, S. 13 ff. (zit. Laux).
Maurer-Lambrou, Urs/Blechta, Gabor-Paul (Hrsg.), Datenschutzgesetz/Öffentlichkeitsgesetz, Basler Kommentar, 3. Aufl., Basel 2014 (zit. BSK-Bearbeiter/-in).
Meier Philippe, Protection des données, Fondements, principes généraux et droit privé, Bern 2010 (zit. Meier).
Reudt-Demont Janine, Digitalisierung des Gesundheitswesens 2023, LSR 2023 S. 39 ff. (zit. Reudt-Demont).
Rosenthal David/Jöhri Yvonne, Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, Zürich 2008 (zit. Rosenthal/Jöhri (2008)).
Volz Stephanie, KI Sandboxen für die Schweiz?, SZW 2022 S. 51 ff., 56 (zit. Volz).
Matériaux
Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.9.2017, BBl 2017 6941 ff., abrufbar https://www.fedlex.admin.ch/eli/fga/2017/2057/de (zit. Botschaft 2017).
Botschaft zum Bundesgesetz über den Datenschutz (DSG) vom 23.3.1988, BBl 1988 II 413 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/1988/2_413_421_353/ de, (zit. Botschaft 1988).
Erläuterungsbericht Totalrevision der Verordnung zum Bundesgesetz über den Datenschutz, BJ, 23.6.2021 (zit. Erläuterungsbericht).