Sous-traitance de données soumises au secret de fonction par une entité (2019.1592)

Les traitements de données personnelles soumises au secret de fonction ne peuvent pas être sous-traités hors de Suisse. En ne respectant pas cette restriction, le responsable de traitement s’expose à des poursuites pénales pour violation du secret de fonction.

L’article 54 CPDT-JUNE indique les conditions auxquelles il est possible de sous-traiter un traitement de données. Parmi ces conditions, figure celle qu’aucune obligation légale de garder le secret ne l’interdit (^{article 54 al. 1 let. c CPDT-JUNE}).

Tant l’administration neuchâteloise que jurassienne sont soumises au secret de fonction (^{art. 320 CP}). Par conséquent, se pose la question de savoir si la soumission à ce secret empêche la sous-traitance.

Selon l’ATF 135 IV 198 (^{JdT 2011 IV p. 51}) le secret de fonction s’applique aux entreprises privées accomplissant une tâche publique pour le compte de l’État :

« La notion pénale de fonctionnaire, au sens de l'art. 110 al. 3 CP, recouvre tant les fonctionnaires du point de vue organique que les personnes qui revêtent cette qualité du point de vue fonctionnel. Pour les seconds, le critère décisif réside dans l'objet de leurs fonctions. Si celles-ci consistent dans l'accomplissement de tâches publiques, leur activité est officielle et ils sont des fonctionnaires au regard du droit pénal ». Au considérant 3.3 il précise que «la forme juridique selon laquelle ils exercent leur activité pour la collectivité importe peu. La relation peut être de droit public ou de droit privé. C'est la fonction des devoirs à la charge de l'agent public qui est plutôt d'une importance décisive. Si ces devoirs consistent en la réalisation d'activités publiques, alors les fonctions sont publiques et les personnes qui les accomplissent sont des fonctionnaires au sens du droit pénal» (^{confirmé dans les arrêts 6B_1110/2014 du 19 août 2015, JdT 2016 IV p. 145; 6B_535/2014 du 5 janvier 2016, SJ 2016 I p. 214; 6B_572_2018 du 1er octobre 2018, consid. 3.2.1}).

Au niveau cantonal, l’arrêt du 11 octobre 2019 du Tribunal cantonal fribourgeois (^{501 2019 88}) va dans le même sens, puisqu‘il a jugé qu’un « employé d’ORS, entreprise privée active dans différents pays en matière d’accueil de requérants d’asile […] dont la mission est l’encadrement, l’intégration et l’accompagnement des requérants d’asile et des réfugiés […] relève manifestement de l’accomplissement de tâches publiques et confère ainsi le statut de fonctionnaire.» (consid. 2).

La notion de tâche publique signifie que l’employeur de droit privé (quelle que soit la forme juridique) doit être obligé par la Constitution, une loi ou par délégation (mandat de prestation), à effectuer durablement une activité, et non pas se limiter à la tolérer ou à s'en abstenir. Aucune tâche publique n’est déléguée lorsque l’administration se procure les moyens nécessaires pour accomplir ses tâches publiques auprès de personnes privées. Par exemple, une entreprise construisant une école, livrant des fournitures de bureau et du matériel n'accomplit pas une tâche publique. Les critères suivants ne sont pas relevants pour déterminer s'il s'agit ou non d'une tâche publique : forme de l’organisation, forme des prestations, régime en matière de responsabilité, obligation de tenir compte des droits fondamentaux, octroi de subventions, pilotage de l’État, surveillance de l’État, initiative étatique ou privée, concurrence, subsidiarité de l’accomplissement de la tâche, ou concession. De plus, une entreprise en main exclusive de collectivités publiques n'accomplit pas forcément une tâche d'intérêt publique (^{Flueckiger Christian, Principes généraux de la protection des données et communications transfrontière dans le cadre des relations de travail, in: La protection des données dans les relations de travail, p. 4s et réf. citées; pour plus de détails et d'exemples, voir Rütsche Bernhard, p. 71 ss ; voir aussi l’avis 2016.1470}).

En d’autres termes, un sous-traitant de droit privé se voyant confier une tâche publique étant soumis au secret de fonction ne viole pas l’article 54 al. 1 let. c CPDT-JUNE; la sous-traitance auprès d’une entreprise de droit privé est licite dans ce cas.

Cependant, comme le relève pertinemment la doctrine, seul le personnel d’une entreprise établie sur le territoire suisse est valablement soumis au secret de fonction. Autrement dit :

« Si les exigences en matière de protection des données peuvent généralement être respectées dans le cadre de la négociation du contrat de services, il en va différemment du secret de fonction qui empêche le traitement de données hors de Suisse […] Si un engagement à respecter le secret de fonction semble suffisant lorsque l’auxiliaire est en Suisse, il en va différemment si celui-ci est soumis au droit étranger. Les autorités étrangères vont d’ailleurs appliquer prioritairement leur droit, ce qui pourrait conduire à ne pas respecter le secret de fonction au sens du droit suisse. Il pourrait ainsi être obligé, en vertu du droit étranger, à transmettre des informations protégées au sens du droit suisse. Il sera difficile de le sanctionner lorsqu’il agit à l’étranger et il pourra tout aussi difficilement se prévaloir d’un secret de fonction suisse pour éviter de devoir révéler les informations sur la base d’une requête valable en droit étranger. » (^{L’utilisation de l’informatique en nuage par l’administration publique, Sylvain Métille, PJA 2019, p. 609 ss (614 s)}).

Par conséquent, si une entité veut traiter des données soumises au secret de fonction à l’étranger, elle doit s’assurer qu’elles ne soient pas accessibles par des autorités étrangères. Pour ce faire, il est possible d’utiliser un chiffrement, dont la clef reste impérativement en Suisse.