Chapitre 4 Traitement de données personnelles et de données concernant des personnes morales

¹Les unités de l’administration fédérale et les Services du Parlement gèrent des systèmes électroniques permettant d’assurer le bon déroulement de leurs processus opérationnels et de gérer des documents, correspondance y comprise.

²Ils peuvent donner à d’autres autorités fédérales et à des unités qui sont extérieures à l’administration fédérale un accès à leurs systèmes de gestion des affaires dans la mesure où cet accès est nécessaire au bon déroulement de leurs processus opérationnels.

¹Les données personnelles, y compris les données sensibles au sens de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)⁷⁰, ainsi que les données concernant des personnes morales, y compris les données sensibles au sens de l’art. 57r, al. 2, de la présente loi, peuvent être traitées dans les systèmes de gestion des affaires dans le but:

a.

de traiter des affaires;

b.

d’organiser le déroulement du travail;

c.

de constater si des données se rapportant à une personne déterminée sont traitées;

d.

de faciliter l’accès à la documentation.

²L’accès à des données personnelles, y compris des données sensibles au sens de la LPD, ainsi qu’à des données concernant des personnes morales, y compris des données sensibles au sens de l’art. 57r, al. 2, de la présente loi, peut être accordé à d’autres autorités fédérales et à des unités qui sont extérieures à l’administration fédérale si la base légale requise pour la communication existe.

³Les systèmes de gestion des affaires peuvent contenir des données sensibles au sens de la LPD ainsi que des données sensibles concernant des personnes morales au sens de l’art. 57r, al. 2, de la présente loi, dans la mesure où ces données ressortent de la correspondance ou découlent de la nature d’une affaire ou d’un document.

⁴L’accès à des données sensibles au sens de la LPD ainsi qu’à des données sensibles concernant des personnes morales au sens de l’art. 57r, al. 2, de la présente loi ne peut être accordé qu’aux personnes auxquelles cet accès est nécessaire pour l’accomplissement de leurs tâches.

Le Conseil fédéral édicte les dispositions d’exécution, en particulier sur l’organisation et l’exploitation des systèmes de gestion des affaires et sur la protection des données personnelles et des données concernant des personnes morales qui y sont enregistrées.

Les dispositions de la présente section ne sont pas applicables lorsqu’une autre loi fédérale règle le traitement de données liées à l’utilisation de l’infrastructure électronique, qu’il s’agisse de données personnelles ou de données concernant des personnes morales.

¹Les organes fédéraux au sens de la LPD⁷⁵ ne sont pas autorisés à enregistrer et exploiter les données liées à l’utilisation de leur infrastructure électronique ou de l’infrastructure électronique dont ils ont délégué l’exploitation, qu’il s’agisse de données personnelles ou de données concernant des personnes morales, sauf si la poursuite des buts prévus aux art. 57l à 57o de la présente loi l’exige.

²Les traitements au sens de la présente section peuvent également porter sur des données sensibles au sens de la LPD et des données sensibles concernant des personnes morales au sens de l’art. 57r, al. 2, de la présente loi.

L’infrastructure électronique comprend l’ensemble des équipements et appareils fixes ou mobiles qui peuvent enregistrer des données personnelles ou des données concernant des personnes morales, en particulier:⁷⁶

a.

les ordinateurs, les composants de réseau et les logiciels;

b.

les supports de données;

c.

les appareils téléphoniques;

d.

les imprimantes, les scanneurs, les télécopieurs et les photocopieurs;

e.

les systèmes de saisie du temps de travail;

f.

les systèmes de contrôle des installations à l’entrée et à l’intérieur de locaux;

g.

les systèmes de géolocalisation.

Les organes fédéraux peuvent enregistrer les données personnelles et les données concernant des personnes morales liées à l’utilisation de leur infrastructure électronique dans les buts suivants:⁷⁸

a.

toutes les données personnelles, y compris celles se rapportant au contenu de la messagerie électronique, pour garantir leur sécurité (copies de sauvegarde);

b.

les données résultant de l’utilisation de l’infrastructure électronique:

1.

pour maintenir la sécurité de l’information et des services,

2.

pour assurer l’entretien technique de l’infrastructure électronique,

3.

pour contrôler le respect des règlements d’utilisation,

4.⁷⁹

pour retracer l’accès à l’infrastructure électronique,

5.

pour facturer les coûts à chaque unité d’imputation;

c.

les données concernant le temps de travail des employés, pour gérer le temps de travail du personnel;

d.

les données concernant la présence de personnes dans les locaux de la Confédération ainsi que les entrées et les sorties, pour garantir la sécurité.

Les données enregistrées peuvent être analysées sans rapport avec des personnes dans les buts mentionnés à l’art. 57l.

Les données enregistrées peuvent être analysées en rapport avec des personnes mais de manière non nominale, lorsque l’analyse a lieu par sondage et dans les buts suivants:

a.

contrôler l’utilisation de l’infrastructure électronique;

b.

contrôler le temps de travail du personnel.

¹Les données enregistrées peuvent être analysées en rapport avec des personnes et de manière nominale dans les buts suivants:

a.

élucider un soupçon concret d’utilisation abusive ou poursuivre un cas d’utilisation abusive;

b.

analyser les perturbations de l’infrastructure électronique, y remédier ou parer aux menaces concrètes qu’elle subit;

c.

fournir les prestations indispensables;

d.

saisir les prestations effectuées et les facturer;

e.

contrôler le temps de travail de personnes déterminées.

²Une analyse de données selon l’al. 1, let. a, ne peut être effectuée que:

a.

par les organes de la Confédération;

b.

après information écrite de la personne concernée.

L’organe fédéral prend les mesures techniques et organisationnelles nécessaires pour prévenir les abus.

¹Le Conseil fédéral règle notamment:

a.

l’enregistrement, la conservation et la destruction des données;

b.

la procédure de traitement;

c.

l’accès aux données;

d.

les mesures techniques et organisationnelles visant à garantir la sécurité des données.

²Les données ne peuvent être conservées qu’aussi longtemps que cela est nécessaire.

³A moins qu’une ordonnance de l’Assemblée fédérale n’en dispose autrement, les présentes dispositions d’exécution s’appliquent aux données qui concernent les membres de l’Assemblée fédérale ou le personnel des Services du Parlement.

¹Les organes fédéraux peuvent traiter des données concernant des personnes morales, y compris des données sensibles, dans la mesure où l’accomplissement de leurs tâches l’exige et où elles sont définies dans une loi au sens formel.

²Les données sensibles concernant des personnes morales sont:

a.

les données relatives à des poursuites ou des sanctions administratives ou pénales;

b.

les données relatives à des secrets professionnels, d’affaires ou de fabrication.

¹Les organes fédéraux sont en droit de communiquer des données concernant des personnes morales si une base légale le prévoit.

²Ils ne sont en droit de communiquer des données sensibles concernant des personnes morales que si une loi au sens formel le prévoit.

³En dérogation aux al. 1 et 2, ils peuvent, dans un cas d’espèce, communiquer des données concernant des personnes morales si l’une des conditions suivantes est remplie:

a.

la communication des données est indispensable à l’accomplissement des tâches légales de l’organe fédéral ou du destinataire;

b.

la personne morale concernée a donné son consentement;

c.

le destinataire rend vraisemblable que la personne morale concernée ne refuse son consentement ou ne s’oppose à la communication que dans le but de l’empêcher de se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts légitimes; à moins que cela ne s’avère impossible ou ne nécessite des efforts disproportionnés, la personne morale concernée doit être auparavant invitée à se prononcer.

⁴Ils peuvent en outre communiquer d’office des données concernant des personnes morales dans le cadre de l’information officielle du public, ou en vertu de la loi du 17 décembre 2004⁸¹ sur la transparence, si les conditions suivantes sont réunies:

a.

les données sont en rapport avec l’accomplissement de tâches publiques;

b.

la communication répond à un intérêt public prépondérant.

⁵Ils peuvent rendre accessibles à tous des données concernant des personnes morales au moyen de services d’information et de communication automatisés, lorsqu’une base légale prévoit la publication de ces données ou lorsque ces organes communiquent des données sur la base de l’al. 4. Lorsqu’il n’existe plus d’intérêt public à rendre accessibles ces données, elles doivent être effacées du service d’information et de communication automatisé.

⁶Les organes fédéraux refusent la communication, la restreignent ou l’assortissent de charges:

a.

si un intérêt public important ou un intérêt légitime manifeste de la personne morale concernée l’exige, ou

b.

si une obligation légale de garder le secret ou des prescriptions particulières de protection des données concernant des personnes morales l’exigent.

Les droits des personnes morales sont régis par les règles de procédure applicables.