Commentaire sur la loi révisée sur la protection des données

Transcription

1 Commentaire sur la loi révisée sur la protection des données

2 Impressum Publié par Association Suisse d Assurances ASA C.F. Meyer-Strasse 4 Case postale 488, CH-80 Zurich Tél Fax info@svv.ch Organe responsable Groupe de travail protection de données de la Commission Droit & Compliance : Marcel Süsskind (Présidence), AXA Winterthur Ursula Holliger, Swiss Life Michèle Karlen, Zurich Suisse Frank Kilchenmann, Helvetia Nadine Probst, La Mobilière Alex Schweizer, Helsana Barbara Widmer, Allianz Suisse Niggi Zittel, Bâloise Rédaction et Personne à contacter Franziska Streich, avocate C.F. Meyer-Strasse 4 Case postale 488, CH-80 Zurich Tél Fax franziska.streich@svv.ch Commandes print@svv.ch Download (Issue Management / 000 Economie & Droit / 50 Protection des données) 007 Association Suisse d Assurances, Zurich Etat au er juillet 007

3 Table des matières Avant-propos 4 I. Check-list pour la LPD révisée 5 II. Les modifications en détail 6. Renforcement du principe de transparence 6. En général. Devoir d informer lors de la collecte de données sensibles et de profils de la personnalité. Collecte «reconnaissable» pour la collecte de données personnelles «ordinaires».4 Devoir d informer de la LCA révisée.5.exemples du devoir d informer selon LPD et LCA. Modification de l art., al., lit. a LPD 9. Obligation de déclarer pour les fichiers 9 4. Communication transfrontière de données 0 4. Niveau de protection adéquat à l étranger 4. Devoir d informer le PFPDT 5. Droit d accès 0 6. Recours à un tiers pour le traitement de données (outsourcing) 0 III. Consentement de la personne concernée. Introduction. Domaine d application du nouvel art. 4, al. 5 LPD. Importance de cette disposition. Conditions d un consentement valable selon l art. 4, al. 5 LPD. Information préalable adéquate..forme du consentement..consentement donné librement Annexe Texte de la loi avec modification du 4 mars 006 Notice interprétative du 0 octobre 006 de l Office fédéral de la justice sur la modification de l art., al., lit. a LPD 4 Structure d une clause de consentement selon la LPD révisée 7

4 4 Avant-propos La Loi fédérale sur la protection des données (LPD) et l ordonnance qui l accompagne (OLPD) sont en vigueur depuis le er juillet 99. Le 4 mars 006, le Parlement a approuvé une révision partielle de la LPD. On ne doit vraisemblablement pas s attendre à ce que la législation révisée régissant la protection des données (LPD, LOPD et Ordonnance sur les certifications en matière de protection des données, OCPD) prenne effet avant l automne 007. Les pages qui suivent commentent les principales modifications prévues par la révision de la législation. La teneur des dispositions révisées et le matériel de la révision, notamment le Message du Conseil fédéral du 9 février 00 paru dans la Feuille fédérale du 8 mars 00 et qui peut être téléchargé sous en constituent le point de départ. Ces commentaires n ont, en l absence de décisions préjudicielles, pas de caractère limitatif. Ce sont surtout les décisions des tribunaux civils qui seront déterminantes. Le Préposé fédéral à la protection des données et à la transparence ne peut donner des «recommandations» aux personnes privées qui traitent des données que dans les limites de l Art. 9 LPD. Les commentaires ont été élaborés en collaboration avec le Groupe de travail protection de données de la Commission Droit & Compliance. Ils remplacent en ce qui concerne le chiffre III les recommandations émises le mars 00 par l ASA relatives à l utilisation de clauses de consentement pour le traitement des données (Circulaire ASA n o 08 / 00). Votre Association Suisse d Assurances

5 5 I. Check-list pour la LPD révisée Les mesures à prendre obligatoirement sur base de la LPD révisée peuvent, pour l essentiel, être récapitulées comme suit : Information des personnes concernées Selon les nouveaux devoirs d information, les personnes concernées, c est-à-dire les proposants, les preneurs d assurance, les tiers lésés, etc., doivent être informées du traitement des données. Une information selon LPD (art. 7a ou 4, al. 4 LPD), n est pas nécessaire, pour autant que la personne concernée ait déjà été informée selon la LCA (art., al., lit. g, ou al. LCA). Consentement de la personne concernée Pour les traitements des données qui exigent le consentement de la personne concernée, ce consentement doit, à l avenir, satisfaire aux exigences suivantes : information préalable appropriée, consentement explicite s il s agit de données sensibles et de profils de la personnalité et consentement librement exprimé. Recours à un tiers pour le traitement de données (outsourcing) En raison des questions de responsabilité, il est recommandé de régler clairement dans le contrat d outsourcing les obligations des parties au contrat en matière de législation de protection des données. Selon la LPD révisée, ceci s applique notamment à la sécurité des données. Les mesures suivantes sont facultatives, et si elles sont prises, délient les personnes qui traitent les données du devoir de déclarer leurs fichiers : désignation d un conseiller à la protection des données ou participation à des procédures de certification. Obligations envers le PFPDT Il y a lieu de vérifier si les fichiers sont soumis à l obligation modifiée de déclarer au Préposé fédéral à la protection des données et à la transparence (PFPDT). Le formulaire pour l annonce des fichiers peut être téléchargé sur le site du PFPDT (Rubrique «Services»). Lors de communications transfrontières de données, il y a obligation d informer le PFPDT si la législation étrangère n assure pas un niveau de protection adéquat et que cette absence est compensée par d autres garanties (par exemple une réglementation contractuelle avec le destinataire étranger des données) ou par des règles de protection des données propres au groupe en cas de transfert de données au sein du groupe. Droit d accès de la personne concernée Les personnes ou organes auxquels on demande des renseignements doivent à l avenir aussi communiquer les informations disponibles sur l origine des données.

6 6 II. Les modifications en détail. Renforcement du principe de transparence. En général Le renforcement de la transparence est au centre de la révision. Il ne s agit pas là d un nouveau principe, car le principe de bonne foi figurant dans l actuelle LPD implique que le traitement des données doit s effectuer de manière transparente pour la personne concernée. La révision a pour objectif de renforcer ce principe par l inclusion de dispositions explicites en matière de transparence. Le droit révisé opère une distinction entre : le devoir d informer lors de la collecte de données personnelles sensibles et de profils de la personnalité (art. 7a LPD) la possibilité de reconnaître la collecte de données personnelles lorsqu il s agit de données «ordinaires» (art. 4, al. 4 LPD), ainsi que l information de la personne concernée avant qu elle ne donne son consentement (art. 4, al. 5 LPD, voir chiffre III. du commentaire). En relation avec cette nouvelle disposition de transparence, il faut relever que la LCA révisée prévoit également une obligation d informer à ce titre. Se pose alors la question du rapport entre ces nouvelles dispositions (voir chiffre II..4 du présent commentaire).. Devoir d informer lors de la collecte de données sensibles et de profils de la personnalité Le maître du fichier a, et c est nouveau, l obligation d informer la personne concernée s il collecte des données personnelles sensibles (par exemple des données concernant la santé ou des antécédents judiciaires) ou des profils de la personnalité de personnes physiques (par exemple profils de leurs intérêts) (art. 7a LPD). Dans ces cas, le maître du fichier doit, au minimum, fournir à l avenir les informations suivantes à la personne concernée : l identité du maître du fichier : les informations doivent être assez précises pour qu en cas de besoin la personne concernée sache envers qui elle peut faire prévaloir ses droits par exemple le droit d accès (art. 8 LPD) selon la LPD ; les finalités du traitement : les finalités du traitement pour lequel les données sont collectées doivent être indiquées ; les catégories de destinataires des données : il suffit d indiquer les catégories de destinataires possibles des données (par exemple : assureur antérieur, médecins, assureur LAA, etc.). Il n est pas nécessaire de fournir l identité de chaque destinataire. Il y a devoir d informer si les données sont collectées auprès de la personne concernée ou de tiers. La différence essentielle en cas de collecte auprès de tiers réside dans le moment où l information est donnée : l information doit être donnée au plus tard lors de l enregistrement des données ou lors de leur première communication à un tiers. Le nouvel art. 7a LPD ne se prononce pas sur la forme de l information, qui peut dès lors être écrite ou verbale. Une information écrite est toutefois préférable pour servir de moyen de preuve. L information doit être donnée lors de la première collecte des données personnelles ou des profils de la personnalité. L information n a pas à être renouvelée lors de collectes ultérieures si le maître du fichier, les finalités du traitement et les catégories de destinataires sont les mêmes que pour la première collecte. Le droit révisé prévoit toute une série d exceptions où il n y a pas de devoir d informer (voir art. 7a et 9 LPD) : la personne concernée a déjà été informée des indications exigées par l art. 7a LPD, sur base par exemple d une information selon la LCA (art., al., lit. g ou al. LCA) ou parce que ces indications ressortent clairement des circonstances concrètes, le devoir d information est impossible à respecter ou nécessite des efforts disproportionnés, il existe une disposition légale à ce sujet, il est nécessaire de limiter le devoir d informer en raison d intérêts prépondérants de tiers ou parce que de propres intérêts prépondérants l exigent, les données personnelles n étant pas portées à la connaissance de tiers.

7 7 Un délai d un an à compter de l entrée en vigueur de la loi révisée est prévu pour la mise en application du nouveau devoir d informer (art. 8 LPD). Passé ce délai d un an, l inobservation intentionnelle du devoir d informer sera punie des arrêts ou de l amende sur plainte de la personne concernée (art. 4 LPD).. Collecte «reconnaissable» pour la collecte de données personnelles «ordinaires» Le nouveau devoir d informer selon l art. 7a LPD se limite à la collecte de données personnelles sensibles et de profils de la personnalité. D après le nouveau droit, il suffit, pour le traitement de données ordinaires, que la collecte et les finalités du traitement soient manifestement reconnaissables pour la personne concernée. Les exigences qui devront être remplies pour qu une collecte soit «reconnaissable» seront, selon le Message, déterminées par les circonstances et conformes aux principes de la proportionnalité et de la bonne foi (art. 4, al. LPD). En revanche, moins les circonstances de la collecte rendent celle-ci reconnaissable, plus il sera nécessaire d attirer l attention de la personne concernée par des moyens appropriés sur l existence de la collecte et ses éléments déterminants (pages 97 ss du Message). Le fait que le caractère «reconnaissable» nécessaire ne soit pas donné n est contrairement à la violation du devoir d informer pas traité comme infraction. Il peut cependant avoir pour conséquence une atteinte illicite à la personnalité et ainsi des prétentions au droit civil de la personne concernée (art., al., lit. a LPD en liaison avec l art. 5 LPD). A la différence du devoir d informer, le législateur a omis de prévoir des exceptions au caractère reconnaissable. Une interprétation systématique de la LPD voudrait toutefois que les exceptions s appliquant à la collecte de données personnelles sensibles s appliquent par analogie aussi aux données ordinaires présentant un moindre potentiel de mise en danger..4 Devoir d informer de la LCA révisée Depuis le er janvier 007, les assureurs doivent, avant la conclusion du contrat, renseigner le preneur d assurance sur ce qu il sera fait de ses données personnelles (art., al., lit. g LCA). Ces renseignements portent sur le traitement des données personnelles, y compris le but et le genre de banque de données, ainsi que sur les destinataires et la conservation des données. La LSA prévoit une obligation analogue pour les intermédiaires (art. 45, al., lit. e LSA). Se pose dès lors la question de la relation entre le devoir d informer selon la LCA et les nouvelles dispositions en matière de transparence de la LPD. Ni la LCA ni la LPD ou le matériel afférent à ces révisions ne se prononcent sur cette question. A les comparer, ces nouvelles dispositions ont le même objectif : renforcer le principe de transparence. Par ailleurs, ces dispositions diffèrent sur les points suivants : Champ d application : le devoir d informer selon la LCA est une norme spécifique à la branche, due à la relation entre l assureur et le proposant (le futur preneur d assurance). Elle s applique au traitement de toutes les données, mais ne s adresse qu au preneur d assurance et, sur base de l art., al. de la LCA, aux personnes assurées par des assurances collectives de personnes, mais pas aux autres personnes assurées et désignées comme bénéficiaires et pas non plus aux personnes lésées de l assurance responsabilité civile. En revanche, le devoir d informer de la LPD ne dépend pas de la branche et s applique aux personnes et organes tant privés qu étatiques dont les assureurs sociaux font aussi partie. Le devoir d informer selon la LPD ne concerne que la collecte de données personnelles sensibles et de profils de personnalité, mais vaut pour toutes les personnes assurées, désignées comme bénéficiaires et lésées. Etendue : le devoir d informer de la LCA exige davantage d indications que celui de la LPD. Par ailleurs, et contrairement à la LPD, la LCA ne prévoit aucune exception à l obligation d informer. Sanctions : en cas de non-observation du devoir d informer, la LCA ménage au preneur d assurance un droit de résilier le contrat (art. a LCA). Il s agit là d une sanction de droit privé. En revanche, la sanction prévue à l art. 7a de la LPD relève du droit public (arrêts ou amende).

8 8 Ces différences amènent à conclure que le devoir d information de la LPD qui ne dépend pas des branches se fond dans le devoir d information de la LCA, et que l art. 7a ainsi que l art. 4, al. 4 de la LPD ont un caractère subsidiaire pour les assureurs. Le fait que l obligation d informer selon la LPD n a plus cours si la personne concernée a déjà été informée (art. 7a, al. 4 LPD) va dans le même sens..5 Exemples du devoir d informer selon LPD et LCA Conclusion du contrat Avant la conclusion du contrat, l assureur informe le preneur d assurance, conformément à la LCA. Cette information comprend aussi les indications requises par l art. 7a LPD (identité du maître du fichier, finalités du traitement, catégories de destinataires). Ceci s applique à l exception de l assurance-transport à tous les contrats d assurance directe ainsi qu aux assurances collectives (art., al., lit. g ou al. LCA). > Une information selon l art. 7a LPD n est pas nécessaire. En tant que lex specialis, la LCA a le pas sur la LPD. Sinistre l assurance puisse obtenir ces renseignements des médecins, le lésé doit la délier du secret médical. > On est en présence d un cas où l art. 7a LPD s applique. Les indications requises par cette disposition devraient, en règle générale, ressortir des circonstances si l échange de correspondance concernant le sinistre se fait directement entre l assureur et le lésé, vu que ce dernier devra savoir à quelles fins ses données seront traitées (appréciation de la responsabilité et montant de la réparation du dommage). Le cas échéant, une information particulière sera nécessaire au cas où l assureur transmet des données relatives à la santé du lésé à des tiers (par exemple à l assureur LAA) ou s en procure auprès de tiers car, dans ce cas, le lésé ne peut d ordinaire pas les extraire des circonstances. Assurance-accidents obligatoire : un salarié est victime d un accident et l employeur annonce le cas à l assureur-accidents qui se procure un rapport médical intermédiaire auprès de l hôpital. Dans le contexte de l art. 54a LAA, il n est pas nécessaire que le secret médical soit levé. > Sous réserve des exceptions selon chiffre II.. du commentaire, l assureur-accidents doit informer le salarié concerné selon l art. 7a LPD. Sinistre d un preneur d assurance : le principe de la lex specialis s applique dans la mesure où, lors de l information précontractuelle, l assureur a suffisamment informé sur le traitement des données en cas de sinistre. > Une information supplémentaire selon LPD ne paraît pas nécessaire. Assurance collective d indemnité journalière en cas de maladie : un salarié tombe malade et l employeur annonce le cas à l assureur. Le principe de la lex specialis s applique pour autant que l employeur ait, sur base des documents reçus de l assureur selon l art., al. LCA, suffisamment informé le salarié sur le traitement des données en cas de sinistre (maladie). > Une information supplémentaire selon LPD ne paraît pas nécessaire. Responsabilité civile : le lésé fait connaître ses prétentions à l assurance RC de l auteur du dommage, laquelle, pour apprécier le dommage, doit disposer de données relatives à l état de santé du lésé. Pour que

9 9. Modification de l art., al., lit. a LPD Les personnes privées et les organes d Etat doivent observer les principes de la LPD (conformité à la loi, bonne foi / transparence, proportionnalité, but indiqué, exactitude et sécurité des données). Sur base de la nouvelle teneur de l art., al., lit. a LPD se pose la question de savoir si des personnes privées ne commettent pas une atteinte non justifiable à la personnalité quand elles contreviennent à ces principes. Ainsi qu il ressort des considérations ci-après, les motifs justificatifs conservent leur importance même après la révision de l art., al., lit. a LPD. Le principe de la lex specialis fait loi, c est-à-dire que les dispositions en matière de protection des données d autres lois fédérales (par exemple de la loi sur le blanchiment d argent) continuent à déployer leurs effets justificatifs. Au sens du droit individuel à l autodétermination en matière d information, un consentement de la personne concernée (par exemple lors d un changement de but) devrait être aussi autorisé par la nouvelle législation, pour autant que le consentement satisfasse aux conditions du nouvel art. 4, al. 5 LPD. Le fait que les intérêts prépondérants de la personne qui traite les données continuent à être un motif justificatif ressort déjà du principe de la proportionnalité du traitement des données. Ce principe exige aussi lorsque des données sont traitées par des privés que soit vérifié leur caractère approprié et nécessaire et que soient examinés avec soin les intérêts opposés de la personne concernée et de celle qui traite les données. Cette appréciation de la modification de l art., al., lit a LPD est soutenue par l interprétation qu en donne l Office fédéral de la justice que l on trouvera en annexe à la brochure.. Obligation de déclarer pour les fichiers La LPD révisée maintient le registre des fichiers du PFPDT. Les fichiers doivent, pour autant qu ils tombent sous l obligation de déclarer modifiée, continuer à être déclarés au PFPDT avant d être opérationnels : sous le nouveau régime, tous les fichiers où sont traitées régulièrement des données personnelles sensibles ou des profils de la personnalité ou sur base desquels des données personnelles sont régulièrement communiquées à des tiers doivent être déclarés. Le fait que la personne concernée ait connaissance du fichier ne libère pas de l obligation de déclarer. Ce principe est toutefois battu en brèche par une série d exceptions. Il n y a pas d obligation de déclarer dans les cas suivants : Les données sont traitées en vertu d une obligation légale (comme jusqu ici). Le maître du fichier dispose d un conseiller à la protection des données indépendant, chargé de tenir un inventaire des fichiers (nouvelle exception) et de surveiller que du point de vue interne les conditions-cadres de la protection des données sont respectées. La position et les tâches du conseiller à la protection des données sont réglées dans l OLPD (voir les art. a et b du projet de consultation OLPD du 8 janvier 006, téléchargeable sous («rubrique Documentation»). Le maître du fichier a obtenu, sur base d une procédure de qualification, un label de qualité de protection des données et a communiqué le résultat de la procédure au PFPDT (nouvelle exception). L aménagement concret du processus de qualification fera l objet d une nouvelle ordonnance (voir projet de consultation (OCPD) du er février 007, disponible sous («rubrique Documentation»). Le Conseil fédéral peut prévoir d autres exceptions dans l OLPD, si les droits des personnes concernées ne sont pas mis en danger (comme jusqu ici, voir art. 4, projet de consultation OLPD du 8 janvier 006).

10 0 4. Communication transfrontière de données 4. Niveau de protection adéquat à l étranger Du point de vue matériel, la législation révisée s en tient au principe selon lequel un transfert de données à l étranger n est autorisé que si la législation de l Etat destinataire assure un niveau de protection adéquat (et non plus obligatoirement équivalent). On se réfère à la liste des Etats ayant une législation adéquate en matière de protection des données que le PFPDT va dresser (art. 7 du projet de consultation OLPD du 8 janvier 006). 5. Droit d accès La LPD accorde un droit d accès aux personnes concernées par des traitements de données. Le droit d accès oblige le maître du fichier à communiquer sur demande à la personne concernée des informations déterminées prescrites par la LPD, comme, par exemple, toutes les données la concernant qui sont contenues dans le fichier. La révision a élargi ce catalogue des informations par la communication des «informations disponibles sur l origine de données» (art. 8, al., lit. a LPD). Ce principe est assoupli dans la législation révisée par une série d exceptions grâce auxquelles la communication de données à l étranger est autorisée en dépit de l absence d une législation assurant un niveau de protection adéquat à l étranger (voir liste limitative des exceptions à l art. 6, al. LPD). Dans la pratique, ce sont en particulier les exceptions ci-après qui ont de l importance : garanties contractuelles avec le destinataire étranger des données relation directe avec la conclusion ou l exécution d un contrat exercice ou défense d un droit en justice. 4. Devoir d informer le PFPDT Formellement, il n y a plus d obligation de déclarer au PFPDT la transmission de fichiers à l étranger. L obligation est remplacée par un devoir d information. Il n y a devoir d informer que si la législation étrangère n offre pas une protection adéquate et que cette lacune est compensée par d autres garanties suffisantes (par exemple un règlement contractuel avec le destinataire étranger des données) ou par des règles de protection des données propres au groupe en cas de transfert de données au sein d un groupe de sociétés. Dans ces cas, le PFPDT doit être informé des garanties données ou des règles de protection des données internes du groupe de sociétés (art. 6, al. LPD). 6. Recours à un tiers pour le traitement de données (outsourcing) Il faut tenir compte de la disposition outsourcing de la LPD lorsque le traitement de données est confié à un tiers (à une fiduciaire par exemple). En ce qui concerne cette disposition, la législation révisée introduit les modifications ci-après : La disposition de l art. 0a LPD s appliquera aussi aux organes étatiques dont les assureurs sociaux font également partie. Jusqu ici, la disposition n était applicable que dans l économie privée. Tant avec l ancienne que la nouvelle législation, il faut tenir compte de principes de la LPD en cas de transfert du traitement de données (licéité, bonne foi / transparence, proportionnalité, affectation à un but, exactitude et sécurité des données). En ce qui concerne le principe de la sécurité des données, la nouvelle législation le précise explicitement en ceci que le mandant est obligé de s assurer notamment que le tiers garantit la sécurité des données. Eu égard aux questions de responsabilité, il est de ce fait recommandé de régler clairement dans le contrat d outsourcing quelles sont les obligations légales des parties au contrat en matière de protection des données (voir à ce sujet l art. 7 LPD en relation avec l art. 8 ss de l OLPD).

11 III. Consentement de la personne concernée. Introduction. Domaine d application du nouvel art. 4, al. 5 LPD Il y a lieu de tenir compte du nouvel art. 4, al. 5 LPD si le consentement de la personne concernée est requis pour le traitement de données : Les personnes privées doivent requérir un consentement si le traitement de données peut avoir une atteinte à la personnalité pour conséquence et qu aucun autre motif justificatif n est donné (art. et LPD). A ce sujet, c est probablement la communication de données sensibles et de profils de la personnalité à des tiers qui est le cas d application le plus important pour un consentement. Un consentement peut aussi être donné pour une dérogation aux principes de traitement de données (voir chiffre II. du commentaire). Les cas d application à ce sujet sont toutefois limités, car il n est guère concevable que la personne concernée donnera un consentement valable, c est-à-dire en étant informée et agissant librement pour un traitement de données illicite ou pour un traitement avec des données inexacte. Un consentement est en outre à l ordre du jour en cas de communication transfrontière de données (art. 6, al., lit. b LPD).. Importance de cette disposition Dans les cas précités, le consentement doit, à l avenir, satisfaire aux exigences ci-après : information préalable adéquate, consentement explicite en cas de données sensibles et de profils de la personnalité, ainsi que consentement donné librement. Le consentement est non valable s il n est pas satisfait à ces exigences. Un consentement non valable ne peut être invoqué en tant que motif justificatif.. Conditions d un consentement valable selon l art. 4, al. 5 LPD. Information préalable adéquate L information préalable doit être adéquate. La notion de l adéquation n est pas définie dans la législation révisée. Selon le Message, l information préalable doit permettre à la personne concernée de prendre librement sa décision concernant le traitement de ses données personnelles (page 99 du Message). Les informations ci-après doivent être communiquées au préalable : Le champ d application du consentement est déterminant (voir chiffre III.. du commentaire), c est-à-dire que la clause de consentement doit être formulée de manière ajustée au champ d application du consentement. Des textes standardisés peuvent être utilisés pour des cas d application de même nature. Si le cas d application de la communication de données sensibles à des tiers est probablement très important, la personne concernée devrait être informée des finalités de la transmission de ces données et des catégories de destinataires des données. Selon le Message, la personne concernée doit être informée des conséquences qui pourraient résulter pour elle d un refus de consentement (page 99 du Message).. Forme du consentement Elle dépend des données qui sont concernées par le consentement : Au cas où un consentement est nécessaire pour traiter des données sensibles (par exemple données relatives à la santé ou à des antécédents judiciaires) ou des profils de la personnalité, il y a lieu de requérir un consentement explicite. Une déclaration implicite ou ressortant d actes concluants ne suffit pas. Selon le Message, plus les données sont sensibles plus le consentement doit être clair (page 940 du Message). Il est recommandé de demander le consentement sous forme écrite afin de disposer de moyen de preuve. Dans les autres cas, le consentement peut être exempt de forme particulière et implicite.

12 . Consentement donné librement Le consentement doit être donné librement, c est-à-dire sans contrainte. En raison de cette condition, tout dépend des désavantages que le refus du consentement peut avoir. Selon le Message, il y a consentement librement donné si le désavantage a un rapport avec le but du traitement ou s il est proportionné par rapport à celui-ci (page 99 du Message). Dans ce sens, et vu que la preuve du bienfondé de la prétention à la prestation d assurance incombe au preneur d assurance / à l ayant-droit, le fait qu en cas de sinistre l assureur signale ne pas pouvoir procéder aux élucidations nécessaires s il ne dispose pas du consentement, ce qui pourrait déprécier le dommage et entraîner ainsi un refus de la prestation d assurance, ne devrait pas poser de problème. Il va de soi qu un consentement librement donné peut être révoqué en tout temps. Dans le contexte d un autre motif justificatif, c est-à-dire d un intérêt prépondérant de celui qui traite les données ou d une disposition légale correspondante, le traitement des données en question pourrait être licite malgré la révocation.

13 Annexe Texte de la loi avec modification du 4 mars 006 Modifications marquées en bleu Loi fédérale sur la protection des données (LPD) du 9 juin 99 L Assemblée fédérale de la Confédération suisse, vu les art. bis, al., 64, 64 bis et 85, ch., de la constitution vu le message du Conseil fédéral du mars 988/9 février 00, arrête : Section But, champ d application et définitions Art. But La présente loi vise à protéger la personnalité et les droits fondamentaux des personnes qui font l objet d un traitement de données. Art. Champ d application La présente loi régit le traitement de données concernant des personnes physiques et morales effectué par : a. des personnes privées ; b. des organes fédéraux. Elle ne s applique pas : a. aux données personnelles qu une personne physique traite pour un usage exclusivement personnel et qu elle ne communique pas à des tiers ; b. aux délibérations des Chambres fédérales et des commissions parlementaires ; c. aux procédures pendantes civiles, pénales, d entraide judiciaire internationale ainsi que de droit public et de droit administratif, à l exception des procédures administratives de première instance ; d. aux registres publics relatifs aux rapports juridiques de droit privé ; e. aux données personnelles traitées par le Comité international de la Croix-Rouge. c. données sensibles, les données personnelles sur :. les opinions ou activités religieuses, philosophiques, politiques ou syndicales,. la santé, la sphère intime ou l appartenance à une race,. des mesures d aide sociale, 4. des poursuites ou sanctions pénales et administratives ; d. profil de la personnalité, un assemblage de données qui permet d apprécier les caractéristiques essentielles de la personnalité d une personne physique ; e. traitement, toute opération relative à des données personnelles quels que soient les moyens et procédés utilisés notamment la collecte, la conservation, l exploitation, la modification, la communication, l archivage ou la destruction de données ; f. communication, le fait de rendre des données personnelles accessibles, par exemple en autorisant leur consultation, en les transmettant ou en les diffusant ; g. fichier, tout ensemble de données personnelles dont la structure permet de rechercher les données par personne concernée ; h. organe fédéral, l autorité ou le service fédéral ainsi que la personne en tant qu elle est chargée d une tâche de la Confédération ; j. i. maître du fichier, la personne privée ou l organe fédéral qui décide du but et du contenu du fichier ; k. j. loi au sens formel :. lois fédérales et arrêtés fédéraux de portée générale sujets au référendum,.résolutions d organisations internationales contraignantes pour la Suisse et traités de droit international approuvés par l Assemblée fédérale, comportant des règles de droit. Art. Définitions On entend par : a. données personnelles (données), toutes les informations qui se rapportent à une personne identifiée ou identifiable ; b. personne concernée, la personne physique ou morale au sujet de laquelle des données sont traitées ;

14 4 Section Dispositions générales de protection des données Art. 4 Principes Toute collecte de données personnelles ne peut être entreprise que d une manière licite. Tout traitement de données doit être licite. Leur traitement doit être effectué conformément aux principes de la bonne foi et de la proportionnalité. Les données personnelles ne doivent être traitées que dans le but qui est indiqué lors de leur collecte, qui est prévu par une loi ou qui ressort des circonstances. 4 La collecte de données personnelles, et en particulier les finalités du traitement, doivent être reconnaissables pour la personne concernée. 5 Lorsque son consentement est requis pour justifier le traitement de données personnelles la concernant, la personne concernée ne consent valablement que si elle exprime sa volonté librement et après avoir été dûment informée. Lorsqu il s agit de données sensibles et de profils de la personnalité, son consentement doit être au surplus explicite. Art. 5 Exactitude des données Quiconque Celui qui traite des données personnelles doit s assurer qu elles sont correctes. Il prend toute mesure appropriée permettant d effacer ou de rectifier les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées. Toute personne concernée peut requérir la rectification des données inexactes. Art. 6 Communication à l étranger transfrontière de données Aucune donnée personnelle ne peut être communiquée à l étranger si la personnalité des personnes concernées devait s en trouver gravement menacée, notamment du fait de l absence d une protection des données équivalente à celle qui est garantie en Suisse législation assurant un niveau de protection adéquat. Quiconque entend transmettre des fichiers à l étranger doit le déclarer préalablement au Préposé fédéral à la protection des données et à la transparence (préposé) dans les cas ou : a. la communication ne découle pas d une obligation légale et b. elle a lieu à l insu des personnes concernées. En dépit de l absence d une législation assurant un niveau de protection adéquat à l étranger, des données personnelles peuvent être communiquées à l étranger, à l une des conditions suivantes uniquement: a. des garanties suffisantes, notamment contractuelles, permettent d assurer un niveau de protection adéquat à l étranger ; b. la personne concernée a, en l espèce, donné son consentement ; c. le traitement est en relation directe avec la conclusion ou l exécution d un contrat et les données traitées concernent le cocontractant ; d. la communication est, en l espèce, indispensable soit à la sauvegarde d un intérêt public prépondérant, soit à la constatation, l exercice ou la défense d un droit en justice ; e. la communication est, en l espèce, nécessaire pour protéger la vie ou l intégrité corporelle de la personne concernée ; f. la personne concernée a rendu les données accessibles à tout un chacun et elle ne s est pas opposée formellement au traitement ; g. la communication a lieu au sein d une même personne morale ou société ou entre des personnes morales ou sociétés réunies sous une direction unique, dans la mesure où les parties sont soumises à des règles de protection des données qui garantissent un niveau de protection adéquat. Le Conseil fédéral règle les modalités de la déclaration. Il peut prévoir des déclarations simplifiées ou des exceptions à l obligation de déclarer lorsque le traitement ne menace pas la personnalité des personnes concernées. Le Préposé fédéral à la protection de données et à la transparance (préposé, art. 6) doit être informé des garanties données visées à l al., let. a, et des règles de protection des données visées à l al., let. g. Le Conseil fédéral règle les modalités du devoir d information.

15 5 Art. 7 Sécurité des données Les données personnelles doivent être protégées contre tout traitement non autorisé par des mesures organisationnelles et techniques appropriées. Le Conseil fédéral édicte des dispositions plus détaillées sur les exigences minimales en matière de sécurité des données. Art. 7a Devoir d informer lors de la collecte de données personnelles sensibles et de profils de la personnalité Le maître du fichier a l obligation d informer la personne concernée lorsqu il collecte des données sensibles ou des profils de la personnalité la concernant, que la collecte soit effectuée directement auprès d elle ou auprès d un tiers. La personne concernée doit au minimum recevoir les informations suivantes : a. l identité du maître du fichier ; b. les finalités du traitement pour lequel les données sont collectées ; c. les catégories de destinataires des données si la communication des données est envisagée. Le maître du fichier doit communiquer à la personne concernée : a. toutes les données la concernant qui sont contenues dans le fichier, y compris les informations disponibles sur l origine des données ; b. le but et éventuellement la base juridique du traitement, les catégories de données personnelles traitées, de participants au fichier et de destinataires des données. Le maître du fichier peut communiquer à la personne concernée des données sur sa santé par l intermédiaire d un médecin qu elle a désigné. 4 Le maître du fichier qui fait traiter des données par un tiers demeure tenu de fournir les renseignements demandés. Cette obligation incombe toutefois au tiers, s il ne révèle pas l identité du maître du fichier ou si ce dernier n a pas de domicile en Suisse. 5 Les renseignements sont, en règle générale, fournis gratuitement et par écrit, sous forme d imprimé ou de photocopie. Le Conseil fédéral règle les exceptions. 6 Nul ne peut renoncer par avance au droit d accès. Si les données ne sont pas collectées auprès de la personne concernée, celle-ci doit être informée au plus tard lors de leur enregistrement ou, en l absence d un enregistrement, lors de leur première communication à un tiers. 4 Le maître du fichier est délié de son devoir d information si la personne concernée a déjà été informée ; il n est pas non plus tenu d informer cette dernière dans les cas prévus à l al. : a. si l enregistrement ou la communication sont expressément prévus par la loi ; b. si le devoir d information est impossible à respecter ou nécessite des efforts disproportionnés. Art. 8 Droit d accès Toute personne peut demander au maître d un fichier si des données la concernant sont traitées. Art. 9 Restriction du droit d accès ; généralités devoir d information et du droit d accès Le maître du fichier peut refuser ou restreindre l information visée à l art. 7a ou la communication des renseignements demandés visée à l art. 8, voire en différer l octroi, dans la mesure où : a. une loi au sens formel le prévoit ; b. les intérêts prépondérants d un tiers l exigent. Un organe fédéral peut en outre refuser ou restreindre l information ou la communication des renseignements demandés, voire en différer l octroi, dans la mesure où : a. un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Confédération l exige ; b. l information ou la communication des renseignements risque de compromettre une instruction pénale ou une autre procédure d instruction.

16 6 Un maître de fichier privé peut en outre refuser ou restreindre l information ou la communication des renseignements demandés, voire en différer l octroi, dans la mesure où ses intérêts prépondérants l exigent et à condition qu il ne communique pas les données personnelles à des tiers. 4 Le maître du fichier doit indiquer le motif pour lequel il refuse de fournir, limite ou ajourne les renseignements. Art. 0 Restriction du droit d accès applicable aux médias Le maître d un fichier utilisé exclusivement pour la publication dans la partie rédactionnelle d un média à caractère périodique peut refuser ou restreindre la communication des renseignements demandés, voire en différer l octroi, dans la mesure où : a. les données personnelles fournissent des indications sur les sources d information ; b. un droit de regard sur des projets de publication en résulterait ; c. la libre formation de l opinion publique serait compromise. Les journalistes peuvent en outre refuser ou restreindre la communication des renseignements demandés, voire en différer l octroi, lorsqu un fichier leur sert exclusivement d instrument de travail personnel. Art. 4 0a Traitement de données par un tiers Le traitement de données personnelles peut être confié à un tiers aux conditions suivantes pour autant qu une convention ou la loi le prévoie et que les conditions suivantes soient remplies : a. le mandant veille à ce que ne soient pas effectués des traitements autres que ceux qu il est lui-même en droit d effectuer seuls les traitements que le mandant serait en droit d effectuer lui-même sont effectués ; b. aucune obligation légale ou contractuelle de garder le secret ne l interdit. Le mandant doit en particulier s assurer que le tiers garantit la sécurité des données. Le tiers peuvent faire valoir les mêmes motifs justificatifs que le mandant. Art. Procédure de certification Afin d améliorer la protection et la sécurité des données, les fournisseurs de systèmes de logiciels et de traitement de données ainsi que les personnes privées ou les organes fédéraux qui traitent des données personnelles peuvent soumettre leurs systèmes, leurs procédures et leur organisation à une évaluation effectuée par des organismes de certification agréés et indépendants. Le Conseil fédéral édicte des dispositions sur la reconnaissance des procédures de certification et sur l introduction d un label de qualité de protection des données. Il tient compte du droit international et des normes techniques reconnues au niveau international. Art. a Registre des fichiers Le préposé tient un registre des fichiers accessible en ligne. Toute personne peut consulter le registre. Les organes fédéraux sont tenus de déclarer tous leurs fichiers au préposé pour enregistrement. Les personnes privées qui traitent régulièrement des données sensibles ou des profils de la personnalité ou communiquent des données personnelles à des tiers sont tenues de déclarer leurs fichiers si sont tenues de déclarer leurs fichiers les cas suivants : a. le traitement de ces données n est soumis à aucune obligation légale et que elles traitent régulièrement des données sensibles ou des profils de la personnalité b. les personnes concernées n en ont pas connaissance elles communiquent régulièrement des données personnelles à des tiers. 4 Les fichiers doivent être déclarés avant d être opérationnels. 5 Par dérogation aux al. et, le maître du fichier n est pas tenu de déclarer son fichier : a. si les données sont traitées par une personne privée en vertu d une obligation légale ; b. si le traitement est désigné par le Conseil fédéral comme n étant pas susceptible de menacer les droits des personnes concernées ; c. s il utilise le fichier exclusivement pour la publication dans la partie rédactionnelle d un média à caractère périodique et ne communique pas les

17 7 données à des tiers à l insu des personnes concernées ; d. si les données sont traitées par un journaliste qui se sert du fichier comme un instrument de travail personnel ; e. s il a désigné un conseiller à la protection des données indépendant chargé d assurer l application interne des dispositions relatives à la protection des données et de tenir un inventaire des fichiers ; f. s il s est soumis à une procédure de certification au sens de l art., a obtenu un label de qualité et a annoncé le résultat de la procédure de certification au préposé. 56 Le Conseil fédéral règle les modalités de déclaration des fichiers de même que la tenue et la publication du registre ; il précise le rôle et les tâches des conseillers à la protection des données visés à l al. 5, let. e ; il règle la publication d une liste des maîtres de fichiers qui sont déliés de leur devoir de déclarer leurs fichiers selon l al. 5, let. e et f. Il peut prévoir, pour certains types de fichiers, des exceptions à l obligation de déclarer ou d enregistrer lorsque le traitement des données ne menace pas la personnalité des personnes concernées. Section Traitement de données personnelles par des personnes privées Art. Atteintes à la personnalité Quiconque traite des données personnelles ne doit pas porter une atteinte illicite à la personnalité des personnes concernées. Personne n est en droit, sans motif justificatif, notamment de : a. traiter des données personnelles en violation des principes définis aux art. 4, 5, al., 6, al., et 7, al. ; b. traiter des données contre la volonté expresse de la personne concernée sans motifs justificatifs ; c. communiquer à des tiers des données sensibles ou des profils de la personnalité sans motifs justificatifs. En règle générale, il n y a pas atteinte à la personnalité lorsque la personne concernée a rendu les données accessibles à tout un chacun et ne s est pas opposée formellement au traitement. Art. Motifs justificatifs Une atteinte à la personnalité est illicite à moins d être justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi. Les intérêts prépondérants de la personne qui traite des données personnelles entrent notamment en considération si : a. le traitement est en relation directe avec la conclusion ou l exécution d un contrat et les données traitées concernent le cocontractant ; b. le traitement s inscrit dans un rapport de concurrence économique actuel ou futur avec une autre personne, à condition toutefois qu aucune donnée personnelle traitée ne soit communiquée à des tiers ; c. les données personnelles sont traitées dans le but d évaluer le crédit d une autre personne, à condition toutefois qu elles ne soient ni sensibles ni constitutives de profils de la personnalité et qu elles ne soient communiquées à des tiers que si ceux-ci en ont besoin pour conclure ou exécuter un contrat avec la personne concernée ; d. les données personnelles sont traitées de manière professionnelle exclusivement en vue d une publication dans la partie rédactionnelle d un média à caractère périodique ; e. les données personnelles sont traitées à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, à condition toutefois que les résultats soient publiés sous une forme ne permettant pas d identifier les personnes concernées ; f. Les données recueillies concernent une personnalité publique, dans la mesure où ces données se réfèrent à son activité publique. Art. 5 Prétentions et procédure Les art. 8 à 8l du code civil régissent les actions et les mesures provisionnelles concernant la protection de la personnalité. Les actions et les mesures provisionnelles concernant la protection de la personnalité sont régies par les art. 8 à 8l du code civil. Le demandeur peut en particulier requérir que le traitement lesdes données soient rectifiées ou détruites ou que leur communication à des tiers soit interdite, et notamment leur communication à des tiers, soient interdits ou que les données soient rectifiées ou détruites.

18 8 Si ni l exactitude, ni l inexactitude d une donnée personnelle ne peut être établie, le demandeur peut requérir que l on ajoute à la donnée la mention de son caractère litigieux. Il peut demander Le demandeur peut requérir que la rectification ou la destruction des données, l interdiction de la communication du traitement, la mention du caractère litigieux et plus particulièrement de la communication, la mention du caractère litigieux ou le jugement soient communiqués à des tiers ou publiés. 4 Le juge statue selon une procédure simple et rapide sur les actions en exécution du droit d accès. Section 4 Traitement de données personnelles par des organes fédéraux Art. 6 Organe responsable et contrôle Il incombe à l organe fédéral responsable de pourvoir à la protection des données personnelles qu il traite ou fait traiter dans l accomplissement de ses tâches. Lorsqu un organe fédéral traite des données conjointement avec d autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral peut régler de manière spécifique les procédures de contrôle et les responsabilités en matière de protection des données. Art. 7 Bases juridiques Les organes fédéraux ne sont en droit de traiter des données personnelles que s il existe une base légale. Art. 7a Traitement de données automatisé dans le cadre d essais pilotes Après avoir consulté le préposé, le Conseil fédéral peut autoriser, avant l entrée en vigueur d une loi au sens formel, le traitement automatisé de données sensibles ou de profils de la personnalité : a. si les tâches qui nécessitent ce traitement sont réglées dans une loi au sens formel ; b. si des mesures appropriées sont prises aux fins de limiter les atteintes à la personnalité ; et c. si la mise en oeuvre du traitement rend indispensable une phase d essai avant l entrée en vigueur de la loi au sens formel. Une phase d essai peut être considérée comme indispensable pour traiter les données : a. si l accomplissement des tâches nécessite l introduction d innovations techniques dont les effets doivent être évalués ; b. si l accomplissement des tâches nécessite la prise de mesures organisationnelles ou techniques importantes dont l efficacité doit être examinée, notamment dans le cadre d une collaboration entre les organes fédéraux et les cantons ; c. si le traitement exige que des données sensibles ou des profils de la personnalité soient rendus accessibles aux autorités cantonales en ligne. Le Conseil fédéral règle les modalités du traitement automatisé par voie d ordonnance. 4 L organe fédéral responsable transmet, au plus tard deux ans après la mise en oeuvre de la phase d essai, un rapport d évaluation au Conseil fédéral. Dans ce rapport, il lui propose la poursuite ou l interruption du traitement. Des données sensibles ou des profils de la personnalité ne peuvent être traités que si une loi au sens formel le prévoit expressément, ou si exceptionnellement : a. l accomplissement d une tâche clairement définie dans une loi au sens formel l exige absolument ; b. le Conseil fédéral l a autorisé en l espèce, considérant que les droits des personnes concernées ne sont pas menacés ou c. la personne concernée y a, en l espèce, consenti ou a rendu ses données accessibles à tout un chacun et ne s est pas opposée formellement au traitement. 5 Le traitement de données automatisé doit être interrompu dans tous les cas si aucune loi au sens formel n est entrée en vigueur dans un délai de cinq ans à partir de la mise en oeuvre de l essai pilote pour lui fournit la base légale nécessaire. Art. 8 Collecte de données personnelles L organe fédéral qui collecte systématiquement des données, notamment au moyen de questionnaires, est tenu de préciser le but et la base juridique du traitement, les catégories de participants au fichier et de destinataires des données.

19 9 La collecte de données sensibles ou de profils de la personnalité d une personne doit être effectuée de façon reconnaissable pour cette dernière. Art. 9 Communication de données personnelles Les organes fédéraux ne sont en droit de communiquer des données personnelles que s il existe une base juridique légale au sens de l art. 7 ou si à l une des conditions suivantes : a. le destinataire a, en l espèce, absolument besoin de ces données pour accomplir sa tâche légale ; b. la personne concernée y a, en l espèce, consenti ou les circonstances permettent de présumer un tel consentement ; c. la personne concernée a rendu ses données accessibles à tout un chacun et ne s est pas formellement opposée à la communication ; d. le destinataire rend vraisemblable que la personne concernée ne refuse son accord ou ne s oppose à la communication que dans le but de l empêcher de se prévaloir de prétentions juridiques ou de faire valoir d autres intérêts légitimes ; dans la mesure du possible, la personne concernée sera auparavant invitée à se prononcer. bis Les organes fédéraux peuvent communiquer des données personnelles dans le cadre de l information officielle du public, d office ou en vertu de la loi du 7 décembre 004 sur la transparence aux conditions suivantes : a. les données concernées sont en rapport avec l accomplissement de tâches publiques ; b. la communication répond à un intérêt public prépondérant. Les organes fédéraux sont en droit de communiquer, sur demande, le nom, le prénom, l adresse et la date de naissance d une personne même si les conditions de l al. ne sont pas remplies. Les organes fédéraux ne sont en droit de rendre des données personnelles accessibles au moyen d une procédure d appel que si cela est prévu expressément. Les données sensibles ou les profils de la personnalité ne peuvent être rendus accessibles au moyen d une procédure d appel que si une loi au sens formel le prévoit expressément. bis Les organes fédéraux peuvent rendre accessibles des données personnelles à tout un chacun au moyen de services d information et de communication automatisés, lorsqu une base juridique prévoit la publication de ces données ou lorsque ces organes rendent des informations accessibles au public sur la base de l al. bis. Lorsqu il n existe plus d intérêt public à rendre accessibles ces données, elles doivent être retirées du service d information et de communication automatisé. 4 L organe fédéral refuse la communication, la restreint ou l assortit de charges, si : a. un important intérêt public ou un intérêt légitime manifeste de la personne concernée l exige ou si b. une obligation légale de garder le secret ou une disposition particulière relevan de la protection des données l exige. Art. 0 Opposition à la communication de données personnelles La personne concernée qui rend vraisemblable un intérêt légitime peut s opposer à ce que l organe fédéral responsable communique des données personnelles déterminées. L organe fédéral rejette ou lève l opposition si : a. il est juridiquement tenu de communiquer les données ou si b. le défaut de communication risque de compromettre l accomplissement de ses tâches. L art. 9, al. bis, est réservé. Art. Obligation de rendre les données personnelles anonymes ou de les détruire Proposition des documents aux Archives fédérales Les organes fédéraux sont tenus de rendre anonymes ou de détruire les données personnelles dont ils n ont plus besoin, à moins qu elles ne doivent : a. être conservées à titre de preuve ou par mesure de sûreté ou b. être déposées aux Archives fédérales. Conformément à la loi fédérale du 6 juin 998 sur l archivage, les organes fédéraux proposent aux Archives fédérales de reprendre toutes les données personnelles dont ils n ont plus besoin en permanence.

20 0 Les organes fédéraux détruisent les données personnelles que les Archives fédérales ont désignées comme n ayant pas de valeur archivistique, à moins que celles-ci : a. ne soient rendues anonymes ; b. ne doivent être conservées à titre de preuve ou par mesure de sûreté. b. supprime les effets d un traitement illicite ; c. constate le caractère illicite du traitement. Si ni l exactitude, ni l inexactitude d une donnée personnelle ne peut être prouvée, l organe fédéral doit ajouter à la donnée la mention de son caractère litigieux. Art. Traitements à des fins de recherche, de planification et de statistique Les organes fédéraux sont en droit de traiter des données personnelles à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, aux conditions suivantes : a. les données sont rendues anonymes dès que le but du traitement le permet ; b. le destinataire ne communique les données à des tiers qu avec le consentement de l organe fédéral qui les lui a transmises ; c. les résultats du traitement sont publiés sous une forme ne permettant pas d identifier les personnes concernées. Le demandeur peut en particulier demander que l organe fédéral : a. rectifie les données personnelles, les détruise ou en empêche la communication à des tiers ; b. publie ou communique à des tiers sa décision, notamment celle de rectifier ou de détruire des données personnelles, d en interdire la communication ou d en mentionner le caractère litigieux. 4 La procédure est régie par la loi fédérale du 0 décembre 968 sur la procédure administrative. Toutefois, les exceptions prévues aux art. et de cette loi ne sont pas applicables. 5 (abrogé) Les dispositions suivantes ne sont pas applicables en la matière : a. art. 4, al., relatif au but du traitement, b. art. 7, al., relatif à la base juridique pour le traitement de données sensibles et de profils de la personnalité, et c. art. 9, al., relatif à la communication de données personnelles. Art. Activités de droit privé exercées par des organes fédéraux Lorsqu un organe fédéral agit selon le droit privé, le traitement des données personnelles est régi par les dispositions applicables aux personnes privées. Art. 5 bis Procédure en cas de communication de documents officiels contenant des données personnelles Tant que l accès à des documents officiels contenant des données personnelles fait l objet d une procédure au sens de la loi du 7 décembre 004 sur la transparence, la personne concernée peut, dans le cadre de cette procédure, faire valoir les droits que lui confère l art. 5 de la présente loi par rapport aux documents qui sont l objet de la procédure d accès. Section 5 Préposé fédéral à la protection des données et à la transparence Toutefois, la surveillance s exerce conformément aux règles applicables aux organes fédéraux. Art. 6 Nomination et statut Le préposé est nommé par le Conseil fédéral. Art. 4 (abrogé) Art. 5 Prétentions et procédure Quiconque a un intérêt légitime peut exiger de l organe fédéral responsable qu il : a. s abstienne de procéder à un traitement illicite ; Il s acquitte de ses tâches de manière autonome et est rattaché administrativement au Département fédéral de justice et police à la Chancellerie fédérale. Il dispose d un secrétariat permanent et de son propre budget.