Traitement

Toute opération relative à des données - quels que soient les moyens et les procédés utilisés - notamment :

• la collecte,

• la conservation,

• l'exploitation,

• la modification,

• la communication,

• l'archivage ou

• la destruction de données.

1. Même pour la lutte contre la fraude, les traitements de données doivent reposer sur une base légale ou une tâche légale. Lorsqu’il s’agit de données sensibles, il faut une base légale adoptée par le législatif (art. 16 et 25 CPDT-JUNE). De plus, il ne faut pas qu’une base légale l’en empêche (art. 26 CPDT-JUNE). Par exemple, une communication d'une caisse de chômage à un service social n'est possible qu'aux conditions de l’art. 97a LACI. De même pour les communications d'un office AI à un service de la population, dans ce cas, aux  conditions sont posées par l'art. 66a LAI. Quant aux communications spontanées entre les caisses de chômage et les offices AI, elles ne peuvent se faire qu'aux conditions de l’art. 32 al. 2bis LPGA.
   En d'autres termes, chaque récolte et communication doit être examinée au cas par cas, afin de s’assurer que l’échange a lieu conformément aux bases légales. De plus, quand bien même la loi permettrait la communication, il faut que le principe de la proportionnalité soit respecté. Seules les données personnelles nécessaires peuvent être traitées (dossier 2024.5569).

2. Les entités sont soumises aux contrôles du PPDT et, si elles décident de sous-traiter, la responsabilité est transférée au sous-traitant. Il appartient à l'entité qui sous-traite de gérer les coûts potentiels. Les entités doivent également s’assurer que le sous-traitant respecte les règles, notamment : « Le responsable du traitement veille notamment à ce que le sous-traitant respecte la présente convention et qu'il n'effectue pas d'autre traitement que celui confié. Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. »
   Par conséquent, il est dans l’intérêt des entités de définir qui assumera les coûts, ainsi que la périodicité et l’étendue des audits (dossier 2024.5367).

3. Si une entité ne poste pas de données personnelles (photos de personnes reconnaissables par exemple), l’utilisation d’un réseau social n’échappe que « partiellement » aux exigences des règles de protection des données. C’est-à-dire que, même si l’entité ne publie aucune donnée personnelle, il n’empêche qu’elle n’a aucune garantie que le réseau social ne siphonne pas les données, plus ou moins à l’insu des utilisateurs. Or, en 2018, la Cour de justice de l’UE a déclaré qu’il existait une responsabilité conjointe entre le réseau social et les entreprises utilisant les « Fan page ». Autrement dit, si le réseau social enfreint les règles de protection données, l’entreprise qui a ouvert la page engage aussi sa responsabilité relative aux traitements de données (pour les détails, voir l’avis 2018.2320), (dossier 2023.4975).

4. Lorsqu’une entité ne répond pas à une demande fondée sur la CPDT-JUNE rapidement, comme les art. 39 et 76 CPDT-JUNE le prévoient, la partie demanderesse peut demander au PPDT la tenue d’une séance de conciliation (art. 40 CPDT-JUNE) (voir modèles) (dossier 2023.4954).

5. Le personnel des entités, telles que les Communes ou des services cantonaux, ne sont pas en droit d’utiliser leur accès privilégié aux données de l’établissement cantonal d’assurance incendie pour communiquer des données personnelles à des tiers ou d’utiliser ces dernières à d’autres fins (dossier 2023.4622).

6. Le personnel des entités, telles que les Communes ou des services cantonaux, ne sont pas en droit d’utiliser leur accès privilégié au Registre Foncier pour communiquer des données personnelles à des tiers (dossier 2022.4497).

7. Les traitements de données personnelles des consommateurs d’électricité captifs sont soumis aux règles de protection des données cantonales (CPDT-JUNE). Pour les clients qui bénéficient des règles du marché concurrentiel, la LPD est applicable, (dossier 2023.4581).

8. Il est fermement déconseillé aux entités d'utiliser un cloud pouvant stocker des données aux USA, malgré l'existence du Safe Harbor (dossier 2015.1017).