Adrestia demande l’ouverture d’une enquête afférente aux mesures d’exécution concernant l’art. 7c Ordonnance 2 COVID-19

Monsieur le Préposé,

Je dépose ce jour une écriture tendant à l’ouverture d’une enquête (art. 27 et 29 LPD) s’agissant de la conformité de l’art. 7c Ordonnance 2 COVID-19 et de ses mesures d’exécution à la lumière de la loi fédérale sur la protection des données. Les motifs sont les suivants.

1. A titre liminaire, je me permets de citer quelques extraits du site fédéral relatif à la protection des données :

« Les données personnelles constituent un bien précieux. On peut le comprendre dans deux sens : d’une part, au point de vue matériel, dans la mesure où les entreprises leur accordent un grand intérêt économique. En recourant à de vastes banques de données aussi détaillées que possible, les entreprises peuvent déterminer très précisément le comportement d’achat de divers types de consommateurs, ce qui leur permet par exemple de cibler et de mettre en œuvre leur stratégie publicitaire. […]

Cette collecte d’informations se passe généralement sans que la plupart des gens n’en aient la moindre idée. Il n’est donc pas étonnant que des agissements contestables, voire des abus, se produisent sans que la victime ne puisse réagir, puisqu’elle ne se doute de rien.

Or, ce n’est pas seulement au point de vue matériel que les données personnelles constituent un bien précieux, mais aussi au point de vue conceptuel, car il est inadmissible que dans une société démocratique, fondée sur le respect du droit, l’être humain ne dispose pas même d’un contrôle minimal sur l’utilisation des données le concernant. Le droit de disposer librement des informations qui nous concernent constitue un élément important de notre ordre social. Conformément à ce principe, chacun doit pouvoir déterminer lui-même, dans toute la mesure du possible, quelles informations personnelles peuvent être transmises, à qui elles peuvent l’être, à quel moment et dans quel contexte.

L’aspect économique n’est pas seul en cause, les services de l’État et les autorités sanitaires s’intéressent, eux aussi, à certaines données personnelles – on peut évoquer à ce sujet la lutte contre le terrorisme international ou contre la criminalité organisée, mais aussi les efforts visant à diminuer les coûts de la santé. Pour simplifier, on pourra dire que le premier objectif de la protection des données doit être la défense du droit qu’a chaque individu de disposer des informations le concernant. Cette tâche n’est pas toujours simple, dans la mesure où il existe des intérêts légitimes qui peuvent limiter ce droit, par exemple dans le cadre d’une enquête policière.

La protection des données doit garantir que le principe de la proportionnalité sera respecté dans tous les cas, c’est-à-dire que la collecte et le traitement impliqueront le moins de données personnelles possible, mais jamais plus que le strict nécessaire ; elle doit par ailleurs garantir à la personne concernée la possibilité de contrôler dans toute la mesure du possible le traitement de ses propres données, pour qu’elle puisse, le cas échéant, s’y opposer. Il est donc impératif que chacun puisse demander aux maîtres de fichiers quelles sont les données le concernant dont ils disposent. À cet effet, la loi sur la protection des données prévoit un droit d’accès dont il est possible de se prévaloir auprès des maîtres de fichiers. »

2. La disposition en question – art. 7c OCF 2/COVID-19 – prévoit ce qui suit : « Les rassemblements de plus de cinq personnes dans l’espace public, notamment sur les places publiques, sur les promenades et dans les parcs, sont interdits [al. 1]. Dans le cas d’un rassemblement de cinq personnes au plus, celles-ci doivent se tenir à au moins deux mètres les unes des autres [al. 2] La police et d’autres organes d’exécution habilités par les cantons veillent au respect des dispositions dans l’espace public [al. 3] »

En vue de réaliser la mission qui précède, la Confédération a sollicité l’appui de l’opérateur Swisscom, permettant ainsi de géolocaliser les citoyens, singulièrement les attroupements de personnes. Aucune autre indication n’a été exposée concernant les moyens de protéger les données, notamment sur le sort des données une fois la crise passée et sur la séparation d’avec le domaine privé.

3. L’art. 13 Cst. féd. (en lien avec art. 8 CEDH) fixe le principe selon lequel toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu’elle établit par la poste et les télécommunications, ainsi qu’à la protection contre l’emploi abusif des données qui la concernent. Pour réaliser cette mission, la loi fédérale sur la protection des données, ses ordonnances d’exécution correspondante et les art. 28 ss CC édictent des règles spécifiques pour sauvegarder la personnalité et la sphère privée des citoyens.

Au regard de ces règles, il semble possible que l’art. 7c OCF 2/COVID-19 et ses mesures d’exécution – singulièrement la mission confiée à Swisscom – contreviennent à :

  • Art. 3 LPD : la localisation du citoyen représente une donnée sensible au vu de son caractère éminemment privé, qui doit être impérativement protégée et constamment sous la maîtrise de la personne concernée. A ce titre, on souligne qu’il apparaît très compliqué, voire difficile, d’empêcher Swisscom de contrôler ou de partager la position, selon un article du quotidien « Le Temps » (cf. Doc. A). En outre, quid des abonnés ayant contracté auprès d’autres opérateurs téléphoniques ?
  • Art. 4 LPD : au vu de la restriction, il est indispensable de la consacrer par le biais d’une loi fédérale au sens formel. Une simple ordonnance, même si fondée sur l’art. 7 de la loi fédérale sur les épidémies et des circonstances (cf. art. 17 LPD), est en tout temps pleinement insuffisante pour justifier une atteinte si importante aux libertés fondamentales susmentionnées.
  • Art. 5 et 7 LPD : il n’est aucune garantie sur la possibilité d’effacer ou de rectifier les données inexactes ou incomplètes. Surtout, rien n’assure que la localisation se limite au domaine public et qu’il ne déborde pas dans la sphère privée. Par ailleurs, quel sera le sort et le traitement des données une fois la crise pandémique passée ? Rien n’a été indiqué à ce sujet.
  • Art. 8 et 14 LPD : existe-t-il une procédure pour accéder aux données collectées par la Confédération et Swisscom ? A priori, la réponse semble être négative.
  • Art. 10 et 18 s. LPD : Existe-t-il une disposition légale ou de convention spécifique pour le traitement de données litigieux entre la Confédération et Swisscom ? A ce titre, ni la Confédération ni Swisscom n’ont donné des informations sur ce thème.

Craignant que cette mesure ne soit excessive aux regards des libertés fondamentales et que la situation extraordinaire n’ait trop facilement justifié une mesure inadéquate, voire illicite, je me vois contraint de vous interpeller afin que vous enquêtiez sur la légalité de la disposition et de la mesure analysées ci-dessus.

Je vous remercie des suites que vous donnez à la présente et me tiens à votre disposition pour toute démarche ultérieure.

Veuillez croire, Monsieur le Préposé, à l’assurance de ma très haute considération.

Alessandro Brenci

Télécharger la demande d’ouverture d’une enquête afférente aux mesures d’exécution concernant l’art. 7c Ordonnance 2 COVID-19

Télécharger le complément de la demande d’ouverture d’une enquête afférente aux mesures d’exécution concernant l’art. 7c Ordonnance 2 COVID-19