Décision individuelle automatisée En vigueur
Faits essentiels
| Point | Valeur |
|---|---|
| Base légale | L'article 21 LPD régit la décision individuelle automatisée; la loi fédérale du 25 septembre 2020 sur la protection des données est en vigueur depuis le 1er septembre 2023. |
| Définition | Une décision individuelle automatisée est prise exclusivement sur la base d'un traitement automatisé et a des effets juridiques pour la personne concernée ou l'affecte de manière significative. |
| Devoir d'informer | Le responsable du traitement informe la personne concernée de toute décision individuelle automatisée (art. 21 al. 1 LPD). |
| Point de vue | Si la personne concernée le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue (art. 21 al. 2 LPD). |
| Réexamen humain | La personne concernée peut exiger que la décision individuelle automatisée soit revue par une personne physique (art. 21 al. 2 LPD). |
| Exception contractuelle | Les obligations tombent si la décision est en relation directe avec la conclusion ou l'exécution d'un contrat et que la demande de la personne concernée est satisfaite (art. 21 al. 3 let. a LPD). |
| Exception du consentement | Les obligations tombent si la personne concernée a expressément consenti à ce que la décision soit prise de manière automatisée (art. 21 al. 3 let. b LPD). |
| Organes fédéraux | Si la décision émane d'un organe fédéral, celui-ci doit la qualifier comme telle (art. 21 al. 4 LPD). |
| Exception en procédure administrative | Le droit d'être entendu et de demander un réexamen tombe lorsque la partie ne doit pas être entendue avant la décision selon l'article 30 alinéa 2 PA. |
| Accès à la logique | Dans le cadre du droit d'accès, l'existence d'une décision individuelle automatisée et la logique sur laquelle elle se base doivent être communiquées (art. 25 al. 2 let. f LPD). |
| Délai de réponse | Les renseignements sont fournis dans les 30 jours suivant la réception de la demande (art. 18 OPDo). |
| Sanction | Celui qui omet intentionnellement d'informer selon l'article 21 alinéa 1 LPD est puni, sur plainte, d'une amende de 250 000 francs au plus (art. 60 al. 1 LPD). |
Ce qu'est une décision individuelle automatisée
L'article 21 de la loi fédérale sur la protection des données (LPD) vise une situation précise: une décision est prise exclusivement sur la base d'un traitement de données personnelles automatisé et elle a des effets juridiques pour la personne concernée ou l'affecte de manière significative. Les deux éléments doivent être réunis.
«Exclusivement automatisé» signifie qu'aucune personne physique n'assume matériellement la décision. Un collaborateur qui se borne à retranscrire, à transmettre ou à confirmer formellement le résultat d'un système ne transforme pas la décision en décision humaine. Ce qui compte, c'est de savoir si une personne physique apprécie réellement les faits et dispose d'une marge d'appréciation propre. À défaut, la décision reste une décision individuelle automatisée.
Les effets juridiques visent les décisions qui modifient la situation juridique de la personne concernée: le refus de conclure un contrat, la fin d'un rapport contractuel, le refus d'une prestation. L'atteinte significative va au-delà et couvre des désavantages de fait d'un certain poids, par exemple le blocage automatique d'un compte, l'élimination d'une candidature ou une tarification qui ferme en pratique l'accès à une prestation. De simples désagréments mineurs ne suffisent pas.
Pas d'interdiction, mais un devoir d'informer et un droit de participer
Sur ce point, le droit suisse se distingue nettement du régime européen. La LPD n'interdit pas les décisions individuelles automatisées. Elle y rattache des droits de transparence et de participation. Celui qui décide de manière automatisée dans le champ d'application de la LPD n'a pas besoin d'une justification particulière, mais il doit informer la personne concernée et, si elle le demande, lui ouvrir l'accès à une personne physique.
Selon l'article 21 alinéa 1 LPD, le responsable du traitement informe la personne concernée de toute décision individuelle automatisée. La loi ne prescrit ni forme ni délai. Le but de la disposition implique toutefois que l'information parvienne à la personne concernée tant que les droits de l'alinéa 2 peuvent encore être exercés utilement. En pratique, elle est donc communiquée avec la notification de la décision elle-même, qui est expressément qualifiée d'automatisée.
Faire valoir son point de vue et obtenir un réexamen humain
L'article 21 alinéa 2 LPD confère deux droits à la personne concernée. Premièrement, si elle le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue. Deuxièmement, elle peut exiger que la décision individuelle automatisée soit revue par une personne physique.
Ces deux droits supposent une demande de la personne concernée; le responsable du traitement n'a pas à l'entendre d'office. Si elle exige le réexamen, celui-ci doit avoir lieu. Il doit être matériel: la personne physique doit apprécier le cas, intégrer les arguments avancés et disposer de la compétence de modifier le résultat initial. Une simple confirmation du résultat du système, sans examen propre, ne satisfait pas à l'article 21 alinéa 2 LPD. En revanche, le responsable du traitement ne doit pas un résultat déterminé: le réexamen peut aussi confirmer la décision.
Les deux exceptions de l'article 21 alinéa 3 LPD
Les alinéas 1 et 2 ne s'appliquent pas dans deux cas.
Contrat et demande entièrement satisfaite
La première exception suppose que la décision individuelle automatisée est en relation directe avec la conclusion ou l'exécution d'un contrat entre le responsable du traitement et la personne concernée et que la demande de cette dernière est satisfaite. Les deux conditions sont cumulatives. Si une demande est acceptée intégralement de manière automatisée, il n'y a pas lieu d'informer ni de réexaminer. Si elle est refusée ou n'est acceptée que partiellement, l'exception ne joue pas et les obligations des alinéas 1 et 2 s'appliquent pleinement.
Consentement exprès
La seconde exception suppose que la personne concernée a expressément consenti à ce que la décision soit prise de manière automatisée. Le consentement obéit aux exigences de l'article 6 alinéa 6 LPD: il doit être donné librement, pour un ou plusieurs traitements déterminés, après une information adéquate. Le caractère exprès exclut le consentement tacite ou présumé; une clause dissimulée dans des conditions générales ne satisfait en règle générale pas à ces exigences.
Décisions automatisées émanant d'un organe fédéral
Lorsque la décision individuelle automatisée émane d'un organe fédéral, celui-ci doit la qualifier comme telle en vertu de l'article 21 alinéa 4 LPD. Cette obligation de qualification s'ajoute au devoir d'informer de l'alinéa 1.
Le droit d'être entendu et de demander un réexamen selon l'alinéa 2 est en revanche restreint: il ne s'applique pas lorsque la personne concernée ne doit pas être entendue avant la décision conformément à l'article 30 alinéa 2 de la loi fédérale sur la procédure administrative (PA) ou en vertu d'une autre loi fédérale. L'article 30 alinéa 2 PA mentionne notamment les décisions incidentes qui ne sont pas séparément susceptibles de recours, les décisions susceptibles d'être frappées d'opposition et les décisions dans lesquelles l'autorité fait entièrement droit aux conclusions des parties. Les voies de recours de la procédure administrative demeurent réservées.
Rapport avec le droit d'accès
L'article 21 LPD ne joue pas seul. Si la personne concernée demande des renseignements au sens de l'article 25 LPD, l'article 25 alinéa 2 lettre f LPD prévoit que le contenu du droit d'accès comprend, le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision.
Ce qui est dû est donc une explication compréhensible de la logique décisionnelle: quelles catégories de données entrent en ligne de compte, selon quels critères elles sont pondérées, comment le résultat se forme. N'est pas due la divulgation du code source ou d'un modèle complet. Les renseignements sont en principe gratuits selon l'article 25 alinéa 6 LPD et sont fournis, selon l'article 18 de l'ordonnance sur la protection des données (OPDo), dans les 30 jours suivant la réception de la demande. Si la communication occasionne des efforts disproportionnés, le responsable du traitement peut exiger, selon l'article 19 OPDo, une participation aux coûts de 300 francs au maximum, dont il doit informer la personne concernée au préalable.
Profilage et analyse d'impact
Les décisions automatisées reposent souvent sur un profilage au sens de l'article 5 lettre f LPD, soit sur une évaluation automatisée d'aspects personnels tels que le rendement au travail, la situation économique, la santé ou la fiabilité. Lorsque le profilage conduit à un appariement de données permettant d'apprécier les caractéristiques essentielles de la personnalité, il s'agit d'un profilage à risque élevé au sens de l'article 5 lettre g LPD. Une personne privée doit alors obtenir le consentement exprès de la personne concernée en vertu de l'article 6 alinéa 7 lettre b LPD.
Si le traitement peut entraîner un risque élevé pour la personnalité ou les droits fondamentaux, le responsable du traitement établit en outre préalablement une analyse d'impact relative à la protection des données selon l'article 22 LPD. Indépendamment de cela, les principes de l'article 6 LPD s'appliquent: licéité, bonne foi, proportionnalité, finalité déterminée et exactitude des données, de même que le devoir de protection des données dès la conception prévu à l'article 7 LPD.
Mise en oeuvre
En cas de violation des obligations, trois voies sont ouvertes. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) peut ordonner, en vertu de l'article 51 alinéa 3 lettre c LPD, que les personnes concernées soient informées conformément aux articles 19 et 21 LPD; il peut, selon l'article 51 alinéa 1 LPD, ordonner que le traitement soit adapté, interrompu ou entièrement cessé.
Sur le plan civil, la personne concernée peut agir contre une atteinte illicite à la personnalité selon les articles 30 et 32 LPD et demander notamment la rectification de données personnelles inexactes, l'interdiction d'un traitement déterminé ou l'effacement de données personnelles.
Sur le plan pénal, l'article 60 alinéa 1 LPD prévoit une amende de 250 000 francs au plus. Est punissable celui qui fournit intentionnellement des renseignements inexacts ou incomplets ou qui omet intentionnellement d'informer la personne concernée conformément à l'article 21 alinéa 1 LPD. La poursuite n'a lieu que sur plainte et l'amende frappe la personne physique responsable.
Ce que les responsables du traitement doivent mettre en place
Celui qui décide de manière automatisée tient utilement un inventaire des processus décisionnels concernés et consigne, pour chacun, s'il existe des effets juridiques ou une atteinte significative, si une exception de l'article 21 alinéa 3 LPD s'applique, comment et quand l'information est donnée et qui procède au réexamen prévu à l'alinéa 2. Cette personne doit avoir accès aux bases de la décision et la compétence de modifier le résultat. La logique décisionnelle doit être documentée de manière à pouvoir être expliquée de façon compréhensible dans les 30 jours en cas de demande d'accès. Si la décision est prise par un sous-traitant, le responsable du traitement demeure tenu de fournir les renseignements selon l'article 25 alinéa 4 LPD; les compétences correspondantes doivent être réglées contractuellement.
Questions fréquentes
Les décisions automatisées sont-elles interdites en Suisse?
Non. La LPD ne les interdit pas; elle y rattache un devoir d'informer ainsi que le droit de faire valoir son point de vue et d'exiger un réexamen par une personne physique (art. 21 LPD).
Quand une décision est-elle exclusivement automatisée?
Lorsqu'aucune personne physique n'apprécie matériellement le cas. Celui qui se borne à transmettre ou à confirmer formellement un résultat, sans marge d'appréciation propre, ne rend pas la décision humaine.
Dois-je être informé si ma demande est acceptée automatiquement?
En règle générale non. Si la décision est en relation directe avec un contrat et que votre demande est satisfaite, les obligations de l'article 21 alinéas 1 et 2 LPD tombent.
Que doit comprendre le réexamen par une personne physique?
Une nouvelle appréciation matérielle. La personne qui réexamine doit intégrer les arguments avancés et pouvoir modifier le résultat. Elle peut toutefois aussi confirmer la décision.
Ai-je droit à la divulgation de l'algorithme?
Non. L'article 25 alinéa 2 lettre f LPD impose de communiquer la logique sur laquelle se base la décision, soit les catégories de données, les critères et leur pondération. Le code source ou un modèle complet ne sont pas dus.
De combien de temps dispose le responsable du traitement?
De 30 jours dès la réception de la demande (art. 18 OPDo). S'il ne peut pas respecter ce délai, il doit en informer la personne concernée et lui indiquer le délai dans lequel les renseignements seront fournis.
La demande d'accès est-elle payante?
En principe non. Seuls des efforts disproportionnés permettent au responsable du traitement d'exiger, selon l'article 19 OPDo, une participation aux coûts de 300 francs au maximum, annoncée au préalable.
Quelles sont les conséquences d'une violation de l'article 21 LPD?
Le PFPDT peut ordonner l'information (art. 51 LPD), la voie civile des articles 30 et 32 LPD est ouverte, et l'omission intentionnelle d'informer est punie, sur plainte, d'une amende de 250 000 francs au plus (art. 60 LPD).
Sources
- Fedlex – Loi sur la protection des données (LPD), art. 21: https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_21
- Fedlex – Loi sur la protection des données (LPD), art. 25: https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_25
- Fedlex – Loi sur la protection des données (LPD), art. 5: https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_5
- Fedlex – Loi sur la protection des données (LPD), art. 6: https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_6
- Fedlex – Loi sur la protection des données (LPD), art. 22: https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_22
- Fedlex – Loi sur la protection des données (LPD), art. 51: https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_51
- Fedlex – Loi sur la protection des données (LPD), art. 60: https://www.fedlex.admin.ch/eli/cc/2022/491/fr#art_60
- Fedlex – Ordonnance sur la protection des données (OPDo), art. 18: https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_18
- Fedlex – Ordonnance sur la protection des données (OPDo), art. 19: https://www.fedlex.admin.ch/eli/cc/2022/568/fr#art_19
- Fedlex – Loi sur la procédure administrative (PA), art. 30: https://www.fedlex.admin.ch/eli/cc/1969/737_757_755/fr#art_30