"La révision de la législation sur la protection des données rendra le profilage plus difficile".

Werbewoche : Avec l'avant-projet de la nouvelle loi sur la protection des données en Suisse, il faut s'attendre à une révision complète du droit en vigueur. Une nouvelle loi sur la protection des données est-elle nécessaire ?

Lukas Bühlmann : Avec le projet proposé, le Conseil fédéral entend notamment tenir compte de l'évolution des conditions technologiques et sociales. Cela est en principe judicieux, dans la mesure où cela conduit en fin de compte à une plus grande sécurité juridique pour les entreprises. En outre, la transparence des traitements de données doit être améliorée et l'autodétermination des personnes concernées concernant leurs données doit être renforcée. Il y a ici un besoin d'action immédiat en raison de l'obligation de droit international public de la Suisse de satisfaire aux exigences de la Convention révisée du Conseil de l'Europe sur la protection des données (STE 108). En outre, comme on le sait, l'UE a également révisé en profondeur son droit de la protection des données. Ces changements obligent également la Suisse à adapter ses prescriptions en matière de protection des données. En effet, d'un point de vue macroéconomique, il est essentiel que le niveau de protection des données de la Suisse continue d'être jugé adéquat et équivalent par l'UE. Cette évaluation est une condition impérative pour un échange de données fluide et fonctionnel avec les pays européens voisins. Dans ce contexte, une révision de la loi suisse sur la protection des données et un rapprochement avec les nouvelles dispositions de l'UE sont nécessaires. Toutefois, il n'est en aucun cas nécessaire d'aller au-delà des prescriptions du droit européen.

La consultation sur l'avant-projet de la nouvelle loi sur la protection des données vient de s'achever. Y avait-il quelque chose à redire ?

La nouveauté la plus controversée est certainement le projet de renoncer à l'introduction de sanctions administratives et d'étendre et de renforcer à la place la responsabilité pénale des personnes physiques chargées des traitements de données dans les entreprises. Il est donc incompréhensible que les sanctions prévues s'adressent en premier lieu aux collaborateurs et non à l'entreprise dans l'intérêt de laquelle les traitements de données sont effectués. Ces sanctions devraient inclure des amendes - au maximum 500 000 CHF en cas de faute intentionnelle et 250 000 CHF en cas de négligence - et/ou même des peines d'emprisonnement.
Ce système de sanctions prévu est diamétralement opposé à la "stratégie numérique" de la Suisse. Il constitue un obstacle majeur à l'innovation et instaure une culture de la délation dans les entreprises. Il entraîne également un désavantage considérable pour la Suisse. Aucune start-up numérique innovante ne sera prête à exposer ses fondateurs et ses collaborateurs à des risques pénaux aussi drastiques. Les bons collaborateurs ne seront plus disposés à assumer des responsabilités dans les entreprises. En raison notamment de la pénalisation prévue des comportements négligents, chaque collaborateur courra potentiellement le risque permanent de se rendre punissable par des actes aujourd'hui quotidiens sur le lieu de travail. Je pense que cela n'est pas non plus acceptable d'un point de vue sociopolitique. Parallèlement, les sanctions à l'encontre du traitement des données par des entreprises étrangères seraient de facto inapplicables, ce qui, d'une part, n'augmenterait pas la protection des données en Suisse et, d'autre part, conférerait un immense avantage concurrentiel aux entreprises étrangères.

Cela signifie-t-il, par exemple, que c'est le responsable informatique qui est sanctionné et non l'entreprise ?

Le système de sanctions proposé pose également problème, car en renonçant aux sanctions administratives, il emprunte à nouveau une voie particulière par rapport à la réglementation du RGPD. Le projet de la nouvelle convention sur la protection des données exige en effet des sanctions tant judiciaires que non judiciaires. On crée ici une incertitude quant à l'adéquation du droit suisse de la protection des données, et cela correspond à un "Swiss-Finish" qui n'est pas nécessaire sur le plan légal.

Quelle est la nouveauté qui affecte le plus le secteur de la publicité ?

Outre l'introduction d'une obligation générale d'information active lors du traitement des données, dont la violation entraîne nota bene des sanctions drastiques, la réglementation proposée concernant le profilage est particulièrement radicale pour le secteur publicitaire. La disposition prévoit que le profilage constitue en soi une violation des droits de la personnalité et qu'un consentement sera donc régulièrement requis. Celui-ci doit en outre être accordé "expressément". A cela s'ajoute le fait que la notion de "profilage" est définie de manière beaucoup trop large et décrite de manière trop peu concrète dans la proposition de loi. En particulier, le profilage qui ne repose pas sur des données personnelles doit également être couvert par la réglementation. La réglementation va bien au-delà de l'objectif et constitue en outre un durcissement (inutile) par rapport aux efforts de réforme européens. Pour les activités publicitaires, notamment le marketing personnalisé, ainsi que le big data, cette disposition aurait des conséquences négatives considérables. Ainsi, ce n'est pas seulement le secteur du DM qui est concerné, mais tous les secteurs économiques et leurs entreprises. Les fournisseurs étrangers, qui ne seraient pas menacés dans les faits par ces dispositions suisses strictes, pourraient tout au plus obtenir un avantage concurrentiel grâce à cette disposition. Un autre exemple de la manière dont le projet proposé entraînerait des désavantages pour l'économie suisse.

Comment la loi entend-elle réglementer le big data en Suisse ? Cela semble impossible.

Le Conseil fédéral souligne certes que le Big Data représente un défi pour la protection des données à différents égards. Mais à l'heure actuelle, il n'y a pas assez de clarté sur les conséquences concrètes. Le thème du "Big Data" n'a donc été abordé que de manière ponctuelle et une réglementation globale fait défaut. Le manque de sécurité juridique a des répercussions négatives sur les activités publicitaires et notamment sur la publicité personnalisée. Ce qui reste, c'est une grande zone d'ombre. Avec les possibilités de sanctions plus sévères prévues, l'objectif d'augmenter le nombre de procédures de violation de la protection des données et le développement des compétences des autorités de protection des données, ce ne serait pas une bonne nouvelle pour l'économie suisse.

Qu'en est-il du consentement au traitement des données à des fins publicitaires ? Des exigences plus strictes s'appliqueront-elles à l'avenir ?

Le projet du Conseil fédéral ne répond pas clairement à cette question. La proposition est contradictoire sur ce point. La loi est certes adaptée à la terminologie de la réglementation européenne. Toutefois, il n'est pas précisé si les exigences relatives à la validité du consentement seront à l'avenir les mêmes que celles de l'UE. L'adoption de ces exigences strictes aurait pour conséquence un durcissement considérable par rapport à la situation juridique actuelle. Par exemple, les cases à cocher pré-cochées, fréquentes en Suisse, seraient à l'avenir également interdites en Suisse. Les clients devraient cocher activement ces cases. En outre, le RGPD prévoit une interdiction de couplage. Il ne serait plus permis, par exemple, de faire dépendre la participation à des jeux-concours de l'accord d'utiliser les données des participants à des fins publicitaires. Une réglementation aussi stricte n'est à mon avis pas absolument nécessaire, en tout cas au regard de l'adéquation du droit suisse de la protection des données, et doit donc être rejetée.

Que signifie le renforcement des compétences des autorités de protection des données ?

Par rapport à la loi actuelle, les compétences de l'autorité de contrôle seront renforcées. Cela permet notamment de compenser le déséquilibre entre les personnes concernées et les responsables du traitement des données. Les dispositions proposées accordent au PFPDT (Préposé fédéral à la protection des données et à la transparence) des compétences supplémentaires en matière d'enquête et de décision et créent désormais une compétence directe en matière de décision. Le non-respect des décisions serait sanctionné par de lourdes amendes. La règle selon laquelle les recours contre les mesures provisionnelles du PFPDT n'ont généralement pas d'effet suspensif est particulièrement problématique à cet égard. Comme la suspension ou l'adaptation de traitements de données pendant la durée incertaine d'une procédure peut causer des dommages massifs aux entreprises, il faut au moins leur donner la possibilité de demander l'effet suspensif devant un tribunal.

N'y a-t-il pas d'autorégulation ou de critères d'équité dans la protection des données ?

Les réglementations détaillées discutées, qui seraient introduites de manière contraignante dans la LPD ou dans le sens d'une autorégulation ("bonne pratique"), sont controversées. Il existe déjà aujourd'hui des autorégulations qui fonctionnent dans les secteurs économiques les plus divers. Elles devraient toutes être réévaluées et approuvées par le PFPDT. Cela conduit à un résultat à double tranchant pour les entreprises. Les recommandations de "bonnes pratiques" peuvent aider à mettre en œuvre les obligations en fonction des besoins du secteur concerné. Ces recommandations doivent être approuvées par le PFPDT et laissent présager des normes élevées. Mais comme les recommandations approuvées deviendraient de facto une loi, un ensemble croissant et finement tissé de règles pourrait se développer autour de la loi. En cas de non-respect de la recommandation, il y aurait de facto présomption de violation de la loi. Mais en principe, les mesures d'autorégulation sont préférables à une législation rigide et excessivement détaillée.

Lors de l'entretien préliminaire, vous avez mentionné que les personnes concernées pourront désormais porter plainte gratuitement en cas de violation de la protection des données.

Les droits de la personne concernée sont fortement développés. Le droit d'accès est complet dans le droit en vigueur et ne sera que légèrement étendu. Les autres droits (droit à l'oubli, droit d'effacement, droit de rectification, droit de contestation) ne changent pas de manière significative par rapport au droit en vigueur. Il est prévu d'introduire l'exonération des frais de procédure (frais de justice) en cas de poursuites civiles pour violation de la protection des données. Il s'agit peut-être d'un enfant de la volonté d'augmenter le nombre de procédures d'infraction à la protection des données.

Que devraient faire les entreprises en Suisse dès maintenant ? Avez-vous des recommandations d'action ?

Il est particulièrement recommandé aux entreprises actives au niveau transfrontalier de vérifier leurs traitements de données à la lumière des futures réglementations de l'UE. Le champ d'application géographique du RGPD de l'UE est très large, de sorte qu'un grand nombre d'entreprises sans établissement dans l'UE sont également soumises aux directives. La future réglementation est déjà définitivement fixée et s'appliquera à partir du 25 mai 2018. En revanche, en Suisse, il faut partir du principe que la révision proposée sera encore soumise à un grand nombre de modifications, ce qui est toutefois absolument nécessaire. Dans cette mesure, on ne sait pas encore très bien comment la situation juridique future sera aménagée. Dans sa forme actuelle, le présent projet de loi représente en tout cas une grande menace pour l'"économie numérique" en Suisse.

Entretien : Heinz Schopfer

Cette interview a été publiée dans Werbewoche 6/2017 du 24 mars 2017. Un abonnement pour Pâques ? Ici.