C3: Principes Flashcards
Quelles sont les principes fondamentaux du traitement des données?
- Licéité (LPD 4 I; nLPD 6 I)
- Bonne foi (LPD 4 II; nLPD 6 II)
- Proportionnalité (LPD 4 II; nLPD 6 II)
- Transparence (LPD 4 III et IV?; nLPD 6 III)
- Finalité (?)
- Exactitude (LPD 5; nLPD 6 V)
Que faut-il dans la RGPD pour que le traitement soit licite?
RGPD 6: Tout traitement a besoin d’un motif justificatif pour être licite
LPD/nLPD !!
Que faut-il pour que le traitement par un organe fédéral soit licite? Dans la nLPD?
Une base légale (Cst. 36; LPD 17)
nLPD 34 remplace LPD 17. Changements majeurs:
- al. 2: loi au sens formel prévu pour let. a-c
- -> al. 2 let. c (nouveau): base légale requise lorsque finalité OU le mode de traitement est susceptible de porter gravement atteinte aux droit de la personne concernée
- al. 3: une base légale au sens matériel suffit dans les conditions cumulatives des let. a + b
- -> al. 3 let. b (nouveau): finalité du traitement présente risque particulier (= censé de s’appliquer à titre exceptionnel, pour les cas de rigueur)
- al. 4: dérogation à la nécessité d’une base légale si une des conditions est (alternativement) remplie
- -> al. 4 let. c (nouveau): le traitement est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers et il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable (=RGPD 6 I-d)
Ex. d’une atteinte grave aux droits fondamentaux au suite de 1) la finalité et 2) le mode de traitement?
1) Evaluer p. ex. la dangerosité d’une personne, son potentiel à exercer une fonction, son aptitude à accomplir une obliga- tion légale ou encore son mode de vie
2) décisions individuelles automatisées au sens de l’art. 21, al. 1 nLPD
- -> mais: pas toute décision individuelle automatisée = atteinte grave; là, une base légale au sens matériel suffit (al. 3)
- -> En principe, lorsque la déci- sion individuelle automatisée se fonde sur un traitement de données sensibles, une base légale au sens formel doit être prévue.
Comment se définit l’illicéité a. s. d. LPD 4 I/nLPD 6 I?
Violation de toute norme hors LPD visant la protection de la personne
= LPD 4 I/nLPD 6 I vise alors le comportement qui sous-tend le traitement, et ne pas le traitement comme tel
–> la loi cherche pas son propre application
Quel est le contenu du principe de la bonne foi? Des ex.?
- En général: Comportement cohérent;
≠ trompeur - Par ailleurs, il se trouve aussi dans les principes de la licéité, la transparence, devoir d’information (en cas de security breach)
—> il faut me renseigner quelles données sont à révéler dans tous les cas et lesquelles slmnt si je souhaite une assurance complémentaire aussi, sinon ≠ bonne foi
—> aussi renseigner que dans tous les cas, j’ai droit à l’assurance obligatoire
—> ne pas faire semblant de collectionner des données pour quelque chose et puis ne pas les traiter dans un autre but
Comment se définit l’atteinte à la personnalité?
LPD 12 II: Personne n’est en droit de
- let. a: traiter des données en violation des principes (licéité, bonne foi, proportionnalité, finalité, reconnaissabilité) SANS motif justificatif
- let. b: traiter des données contre la colonté de la personne concernée SANS motif justificatif
- let. c: communiquer à des tiers des données sensibles ou des profils de la personnalité sans motif justificatif
Quelle est la conséquence si une des cas de figure a. s. d. LPD 12 II est remplie?
Présomption d’atteinte à la personnalité
–> peut être enlevée via motif justificatif
Dans quels cas il y a notamment pas atteinte à la personnalité?
LPD 12 III: présomption de non-atteinte si
- personne concernée a rendu les données accessibles elle à tout un chacun ET
- ne s’est opposée formellement au traitement
MAIS: traitement doit quand-même être en lien avec le but dans lequel les données étaient partagé = traitement pas complètement opposé au but
Où est codifié la protection des données dès la conception (privacy by design)?
nLPD 7
RGPD 25 I
(pas réglé dans LPD)
Que signifie Privacy by design?
Le responsable réfléchit sur un concept de protection même avant le traitement ait commencé. Cela dans les limites raisonnables (nLPD 7 II; RGPD 25 I in initio). RGPD 25 I:
le responsable du traitement met en œuvre, tant au moment de la détermination des moyens du traitement qu’au moment du traitement lui-même, des mesures techniques et organisationnelles appropriées, telles que la pseudonymisation, qui sont destinées à mettre en œuvre les principes relatifs à la protection des données, par exemple la minimisation des données, de façon effective et à assortir le traitement des garanties nécessaires afin de répondre aux exigences du présent règlement et de protéger les droits de la personne concernée.
—> En fait, P-b-D c’est ça: pas slmnt imposer les obligations et sanctions légales, mais aussi imposer des outils qui traitent dès le départ les données personnelles de manière licite dès la création de l’outil
Quelles ont été les conséquences pratiques de l’introduction du privacy by design?
–> permet à l’autorité également de dire de ne pas accepter l’excuse „l’outil que j’utilise n’a pas bien protégé“
–> a poussé aussi tous les développeurs de logiciels qui n’étaient pas soumis à la loi vu qu’ils sont pas des responsables du traitement en tant que tel à présenter des outils informatiques conformes à la loi
Où est codifié le principe de protection des données par défaut (Privacy by Default)?
RGPD 25 II; nLPD 7 I + III
Que signifie Privacy by Default?
Régler au préalable que seuls les données personnelles nécessaires pour le but poursuivies sont traitées par défaut (normalement).
RGPD 25 II:
“Le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour garantir que, par défaut, seules les données à caractère personnel qui sont nécessaires au regard de chaque finalité spécifique du traitement sont traitées.
Cela s’applique à la quantité de données à caractère personnel collectées, à l’étendue de leur traitement, à leur durée de conservation et à leur accessibilité.
En particulier, ces mesures garantissent que, par défaut, les données à caractère personnel ne sont pas rendues accessibles à un nombre indéterminé de personnes physiques sans l’intervention de la personne physique concernée.”
