Demande de communication de données personnelles par des tiers (2019.2671)

Lorsqu’une personne demande expressément l’accès aux données personnelles d’une autre, il faut en principe examiner la demande sous l'angle de l'article 25 CPDT-JUNE, et par conséquent de la procédure prévue en matière de protection des données, excepté dans le cas du chiffre 8 ci-dessous.

Les possibilités pour qu'une entité puisse communiquer, sur demande, des données personnelles sont énumérées, exhaustivement, à l'art. 25 CPDT-JUNE. C'est-à-dire lorsque :

1. une base légale autorise expressément la communication;

2. la personne concernée y a en l'espèce consenti;

3. la personne concernée a rendu ses données accessibles à tout un chacun et ne s'est pas opposée formellement à la communication;

4. la personne concernée n’est pas en mesure de donner son consentement, mais que la communication des données est dans son intérêt et son consentement peut être présumé conformément aux règles de la bonne foi;

5. le destinataire rend vraisemblable que la personne concernée n'a refusé (après lui avoir offert le droit d'être entendu; modèle à disposition) que dans le but d’empêcher la partie demanderesse de se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts légitimes; 
   Comme exemples de prétentions juridiques, l’on peut penser à des prétentions découlant du droit de la famille (le parent bénéficiaire d’une pension alimentaire s’adresse au contrôle des habitants du lieu de domicile de l’autre parent afin de connaître son adresse) ou des contributions d’assurance sociale (un employé veut savoir si son employeur a versé les cotisations le concernant) (^{TAF, 19 avril 2018, A-6356/2016, consid. 3.4.1 et réf. citée}). 
   Si la personne concernée refuse de divulguer les informations la concernant, elle peut commettre un abus de droit. Selon certains auteurs, l'entité sollicitée doit s’assurer que la raison invoquée existe effectivement et refuser la divulgation si le tiers destinataire ne produit pas un titre juridique clair. Le tiers destinataire doit rendre vraisemblable l’existence du comportement abusif de la personne concernée; l’argument selon lequel la mise en œuvre de ses propres droits serait facilitée si l'entité publie les données sans le consentement de la personne concernée n’est pas suffisant (^{TAF,19 avril 2018, A-6356/2016, consid. 3.4.2 et réf. citée}). Pour ce faire, l’entité doit, au cas par cas, déterminer quels sont les documents, ou autres éléments, aptes à confirmer la vraisemblance de la demande (par exemple un contrat de bail pour justifier une créance). 

6. la communication est justifiée par un intérêt public prépondérant;

7. il n'est demandé que le nom, le prénom, l'adresse, la date de naissance, l'état civil, la profession, le sexe et la nationalité, la provenance et la destination d'une personne, mais pour autant que cela soit dans l’intérêt de la personne concernée ou que le destinataire justifie d’un intérêt digne de protection;

8. les données sont contenues dans un document officiel auquel l'accès est demandé selon les règles de la transparence, et que la communication est justifiée par un intérêt public prépondérant. Le cas échéant, la demande est traitée selon la procédure relative à l'accès aux documents officiels.

En principe le droit d'être entendu doit toujours être respecté, mais l'entité peut renoncer à prendre l’avis de la personne concernée, en particulier, lorsque des prétentions juridiques ou des intérêts légitimes de tiers risquent d’être compromis ou que les conditions du chiffre 7 sont clairement remplies et qu'aucun risque n'apparaît. Une telle hypothèse appelle ainsi une pesée des intérêts en présence, car il n’est pas possible de faire abstraction des propres intérêts de la personne concernée, notamment en présence de données sensibles comme le sont, les données personnelles sur des poursuites ou sanctions pénales et administratives. Il faut rappeler, dans ce contexte, que la collecte et le traitement de données sensibles est soumis à un régime juridique particulier et que personne n’est en droit de communiquer à des tiers des données sensibles ou des profils de la personnalité sans base légale adoptée par l'organe législatif dont dépend l'entité (^{TAF,19 avril 2018, A-6356/2016, consid. 3.4.3 et réf. citée}).