JAAC 64.70 Jugement de la Commission fédérale de la protection des données du 10 juin 1999 Art. 4 al. 2, art. 19, art. 25 al. 1 let. c, art. 33 al. 1 let. b LPD. Communication de données personnelles d’une collaboratrice lors d’un séminaire de formation continue. - Le refus d’un organe fédéral de constater l’illicéité d’un traitement de données est sujet à recours auprès de la Commission fédérale de la protection des données. - La communication, lors d’un séminaire de formation continue, de données personnelles d’une collaboratrice sous une forme anonymisée qui n’exclut toutefois pas une identification par des tiers est illicite vu qu’aucun motif légal ne le justifie selon l’art. 19 LPD. Art. 4 Abs. 2, Art. 19, Art. 25 Abs. 1 Bst. c, Art. 33 Abs. 1 Bst. b DSG. Bekanntgabe von Personendaten einer Mitarbeiterin anlässlich eines Weiterbildungsseminares. - Gegen die Weigerung eines Bundesorganes, die Widerrechtlichkeit einer Datenbearbeitung festzustellen, kann bei der Eidgenössischen Datenschutzkommission (EDSK) Beschwerde geführt werden. - Die Bekanntgabe von Personendaten einer Mitarbeiterin in anonymisierter, jedoch die Identifikation der Person durch Dritte nicht ausschliessender Form im Rahmen eines Weiterbildungsseminares ist widerrechtlich, da kein Rechtfertigungsgrund gemäss Art. 19 DSG gegeben ist. 1
Art. 4 cpv. 2, art. 19, art. 25 cpv. 1 lett. c, art. 33 cpv. 1 lett. b LPD. Comunicazione di dati personali di una collaboratrice durante un seminario di formazione continua. - Contro il rifiuto di un organo federale di accertare l’illiceità di un trattamento di dati può essere interposto ricorso presso la Commissione federale della protezione dei dati. - La comunicazione, durante un seminario di formazione continua, di dati personali di una collaboratrice in una forma anonima che non esclude tuttavia l’identificazione da parte di terzi è illecita, poiché non è giustificata da alcun motivo legale ai sensi dell’art. 19 LPD. La recourante est collaboratrice à L’Office fédéral des réfugiés (ODR). Cet office a organisé un séminaire de cadres, auquel participaient notamment deux des supérieures hiérarchiques de la recourante et qui avait pour objet le «Management by Objectives» (MBO). La recourante invoque qu’elle a été informée par un autre participant du séminaire que l’une de ses cheffes avait présenté son cas durant le séminaire. [...] La Commission fédérale de la protection des données (CFPD) constate qu’il existe une divergence entre les différents protagonistes sur le point de savoir si le nom de la recourante a été prononcé lors du séminaire, à tout le moins lors d’un travail de groupe ou d’un repas, voire d’une discussion entre participants. A la suite des audiences et des auditions de témoins, la CFPD tient pour constant que le séminaire en question, comme d’autres séminaires qui appliquent la même méthodologie, implique nécessairement que le travail de groupe se fasse par référence à des cas personnels de collaborateurs. Il est par conséquent conçu et prévu comme non extraordinaire le fait que l’on utilise les cas personnels de collaborateurs au titre de base de travail. Pour l’organe fédéral (ODR), il semble normal que les collaborateurs dont la situation est évoquée soient reconnaissables ou puissent être reconnus. La CFPD tient également pour constant que le nom de la recourante n’a pas été prononcé en plénum, ni spontanément dans un groupe de deux, mais déduit réactivement. En outre, elle admet que, après que M. X. ait compris que sa collègue exposait le cas de la recourante, les deux personnes ont discuté ensemble librement du cas. La Commission relève que plusieurs groupes travaillaient l’un à côté de l’autre, dans un même endroit. Le séminaire et la méthode de travail n’ont pas fait l’objet de prescriptions administratives écrites, et il n’a pas été posé de limite ou de mise en garde pour assurer la protection de la personnalité et des données. Seule une injonction verbale portant sur l’obligation de traiter les cas de manière anonyme a été communiquée aux participants. En outre, il faut souligner que l’ODR reconnaît avoir cité le cas de la recourante de manière anonyme, mais n’exclut pas que cette dernière aurait pu être identifiée ou du moins identifiable. 2
La recourante conclut à ce que la Commission: - déclare le recours recevable pour cause de déni de justice, constatation inexacte des faits pertinents et vice de procédure; - constate l’illicéité de traitement de données la concernant, en application de l’art. 25 de la LF du 19 juin 1992 sur la protection des données (LPD, RS 235.1); - procède elle-même à une confrontation entre les différentes parties. I. Sur la recevabilité du recours et la compétence de la commission 1. Par courrier du 2 septembre 1997, adressé à l’ODR, la recourante a requis de cet Office qu’il rende une décision en constatation du caractère illicite de la communication d’informations la concernant, en application de l’art. 25 al. 1 let. c LPD. Par courrier motivé, daté du 10 novembre 1997, elle a recouru auprès de la CFPD à l’encontre du refus de l’ODR de rendre une décision relative à l’art. 25 LPD. 2. L’art. 33 al. 1 let. b LPD dispose que «la Commission fédérale de la protection des données [...] statue sur les recours contre les décisions des organes fédéraux en matière de protection des données à l’exception de celles du Conseil fédéral.» L’ODR est un organe fédéral, au sens de l’art. 3 let. h LPD. L’art. 33 al. 1 let. b LPD est par conséquent applicable au présent recours et la Commission fédérale de la protection des données est valablement saisie. 3. (Délai) II. Sur le fond 4.a. On rappellera que, de manière générale, en vertu de l’art. 16 al.1 LPD, il incombe à l’organe fédéral responsable de pourvoir à la protection des données personnelles qu’il traite ou fait traiter dans l’accomplissement de ses tâches. b. En particulier, l’art. 19 LPD ne permet aux organes fédéraux la communication de données personnelles que s’il existe une base juridique au sens de l’art. 17 ou si: 1. le destinataire a, en l’espèce, absolument besoin de ces données pour accomplir sa tâche légale; 2. la personne concernée y a, en l’espèce, consenti ou les circonstances permettent de présumer un tel consentement; 3. la personne concernée a rendu ses données accessibles à tout un chacun ou si 3
4. le destinataire rend vraisemblable que la personne concernée ne refuse son accord ou ne s’oppose à la communication que dans le but de l’empêcher de se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts légitimes; dans la mesure du possible, la personne concernée sera auparavant invitée à se prononcer. c. De plus, l’art. 4 al. 2 LPD dispose que le traitement de données personnelles doit être effectué conformément aux principes de la bonne foi et de la proportionnalité. Selon l’al. 3 de la même disposition, les données personnelles ne doivent être traitées que dans le but qui est indiqué lors de leur collecte, qui est prévu par une loi ou qui ressort des circonstances. Par données personnelles, il faut entendre toutes les informations qui se rapportent à une personne identifiée ou identifiable (art. 3 let. a LPD). 5.a. Il est incontestable, en l’espèce, qu’il y a eu traitement, par l’organe fédéral, de données primaires, soit utilisation d’un cas concret, appelant la prise en considération de données personnelles. En l’espèce, l’organe fédéral n’a pas démontré qu’il existait une base légale (art. 17 al. 1 LPD), aux fins qu’il puisse traiter ces données personnelles. Il n’a pas non plus invoqué le fait que l’utilisation de ces données puisse être nécessaire aux fins d’accomplir une tâche clairement définie dans une loi au sens formel (art. 17 al. 2 let. a LPD). Certes, l’ODR mène des séminaires, tels que celui en question, dans le cadre de ses tâches fédérales, soit pour assurer le bon fonctionnement de l’organe, mais aucunement pour remplir une tâche légale. De même, l’ODR n’avait pas absolument besoin de ces données pour accomplir sa tâche légale (art. 19 al. 1 let. a LPD). En outre, la recourante n’a pas consenti à la communication de données personnelles la concernant et les circonstances ne permettaient pas de présumer un tel consentement (art. 19 al. 1 let. b LPD). b. Considérant que la recourante était à tout le moins identifiable par les participants au séminaire, il y a lieu de retenir que les données qui ont été communiquées constituent bien des données personnelles au sens de l’art. 3 let. a LPD. Dès lors, la commission retient qu’il y a eu violation de l’art. 19 LPD, à tout le moins par dol éventuel. En effet, l’organe fédéral n’avait pas la volonté de violer la loi, mais il s’en est accommodé pour le cas où la personne pourrait être identifiée. Il lui appartenait par conséquent de prendre toutes les mesures utiles pour diminuer le risque d’identification. c. En l’espèce, la Commission relève que si l’on mélangeait différents départements pour procéder à ce type de séminaire, le risque d’identification serait moindre. En outre, il appartient à l’organe fédéral de mieux définir les limites entre le traitement d’un cas individuel et le traitement d’un cas de manière générale. d. Finalement, les principes de proportionnalité et de finalité n’ont pas été respectés: le cas de la recourante aurait dû être rendu complètement anonyme et n’aurait en aucune manière dû permettre son identification (art. 4 al. 2 et 3 LPD). A cet égard, la CFPD relève que, dans son mémoire du 20 janvier 1998, l’ODR affirme que l’on ne peut exclure qu’à l’occasion des travaux en petits groupes, 4
d’aucuns, connaissant l’ODR, aient pu tirer certaines conclusions quant à l’identité de la recourante. Là aussi, il appartient à l’organe fédéral d’assurer l’anonymat des cas traités lors de séminaires du type de celui en question. e. Les conclusions 1 et 3 de la recourante n’ont pas à être examinées, en tant qu’elles ne se rapportent pas directement à l’application des dispositions de la LPD. En outre, s’agissant du déni de justice par l’organe fédéral, qui n’a pas constaté le traitement illicite, dans la mesure où la Commission statue sur le fond du litige, ce grief est devenu sans objet. f. Dès lors, la Commission constate l’illicéité du traitement par l’ODR, au cours du séminaire en question, des données concernant la recourante, en application de l’art. 25 al. 1 let. c LPD. 6. (Frais de la procédure) 5
Schweizerisches Bundesarchiv, Digitale Amtsdruckschriften Archives fédérales suisses, Publications officielles numérisées Archivio federale svizzero, Pubblicazioni ufficiali digitali JAAC 64.70 - Jugement de la Commission fédérale de la protection des données du 10 juin 1999 In Verwaltungspraxis der Bundesbehörden Dans Jurisprudence des autorités administratives de la Confédération In Giurisprudenza delle autorità amministrative della Confederazione Jahr 2000 Année Anno Band 64 Volume Volume Seite --- Page Pagina Ref. No 150 004 835 Das Dokument wurde durch das Schweizerische Bundesarchiv und die Bundeskanzlei konvertiert. Le document a été digitalisé par les Archives Fédérales Suisses et la Chancellerie fédérale. Il documento è stato convertito dall'Archivio federale svizzero e della Cancelleria federale.
Jugement de la Commission fédérale de la protection des données du 10 juin 1999 I. Sur la recevabilité du recours et la compétence de la commission II. Sur le fond