La révision de la loi sur la protection des données ne suffit pas
(Keystone-ATS) La Suisse est à la traîne en matière de protection des données. Le projet de révision de loi est salué mais jugé inabouti. Les organisations de consommateurs déplorent notamment que les règles de l’UE qui renforcent les droits des citoyens ne soient pas reprises.
L’exemple récent de Swisscom a montré la nécessité de mieux protéger les consommateurs. L’opérateur a annoncé à ses clients que leurs données anonymisées seraient transmises à la société publicitaire Admeira, une entreprise commune à l’opérateur, l’éditeur Ringier et la SSR. Problème: pour s’y opposer, la procédure est compliquée.
Pour la FRC, ce cas n’est plus acceptable. A l’avenir, l’échange de données ne devrait être possible que si le client a explicitement donné son accord sans devoir être pro-actif, estime l’organisation de défense des consommateurs dans sa réponse à la consultation close mardi.
“Les consommateurs doivent avoir le droit de ne pas ‘payer’ des services avec leurs données et la revente de celles-ci à des tiers”, écrivent les Verts à l’unisson avec le PS et l’organisation alémanique des consommateurs Stiftung für Konumentenschutz (SKS). Ils doivent avoir la haute main sur leurs données personnelles.
“Mort numérique”
Les mêmes milieux, appuyés par l’association des commissaires suisses à la protection des données (privatim), regrettent que les Suisses soient privés de deux éléments importants de la législation européenne, à savoir le droit à la portabilité et le droit à l’oubli.
Le premier permet de récupérer ses données par exemple lorsqu’on change de fournisseur. Cela permettrait un meilleur contrôle notamment à l’égard de grands acteurs globaux qui traitent des données. Quant au droit à l’oubli, le projet n’est pas assez restrictif à l’égard des personnes décédées: il prévoit de supprimer le secret professionnel.
Pour la FRC, cela pose des problèmes par exemple pour le secret médical. Selon elle, il est indispensable de garantir aux personnes qu’après leur décès, les renseignements figurant dans leur dossier demeureront couverts par le secret médical. L’accès aux données médicales pour les proches après la mort du patient est rendu trop aisé.
Aux entreprises de montrer patte blanche
La révision prévoit aussi qu’à l’avenir, les personnes qui s’estiment victimes d’une violation de leurs droits puissent ouvrir gratuitement une procédure judiciaire. Mais pour privatim, cela ne va pas assez loin. Au vu de la complexité du processus de traitement de données, la personne n’est pas en mesure d’apporter la preuve d’une action illicite.
Il faut au contraire renverser le fardeau de la preuve en faveur du citoyen et obliger le responsable du traitement de données de démontrer qu’il a agi conformément à la loi.
En matière de profilage, privatim, la FRC, SKS, les Verts et le PS exigent aussi un meilleur encadrement. Il s’agit d’édicter des conditions strictes notamment pour la récolte, la combinaison et l’analyse de données économiques comme l’a fait moneyhouse.
Amendes riquiqui
Le régime des sanctions ne convainc pas non plus. L’amende maximale de 500’000 francs n’est absolument pas dissuasive. Elle est même insignifiante par rapport à ce que prévoit le droit européen pour de gros acteurs internationaux. Là, les sanctions administratives peuvent atteindre 10 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 20 millions d’euros.
Dans la même veine, le rôle réservé au préposé fédéral à la protection des données n’a rien à voir avec la pratique dans l’UE où son homologue a expressément le pouvoir de prononcer des sanctions administratives. En Suisse le préposé ne pourra pas prononcer des amendes s’il détecte des irrégularités.
Il devra toutes les dénoncer aux autorités de poursuite pénale cantonales. Ce qui fait craindre aux cantons un important report de charges ainsi qu’un problème de conflit de compétence, écrit Vaud.
S’en tenir au standard minimum
Les commentaires sonnent tout autrement dans les milieux représentant les intérêts de l’économie. Le PLR, le PVL et le PBD saluent une loi dont “la mise en oeuvre souple et efficace permet de maintenir la compétitivité des entreprises”. “Il convient de restreindre à un minimum le nombre de situations dans lesquelles un devoir d’informer subsiste”, résume le PLR.
L’Association suisse d’Assurance (ASA) se plaint même des trop grandes restrictions imposées pour le profilage ainsi que des nouvelles obligations qui risquent d’entraîner une surcharge administrative. “Le projet est truffé de réglementations tatillonnes qui outrepassent les normes en vigueur au niveau international, écrit l’usam. Pour l’UDC, il faudrait en outre étendre la loi aux données des entreprises.
