Bases légales

La mise en place d'une carte d'avantages pour les citoyens, comprenant l'élaboration d'un fichier, peut se fonder sur un règlement du Conseil communal en l'absence de données sensibles (dossier 2025.5978).

Même pour la lutte contre la fraude, les traitements de données doivent reposer sur une base légale ou une tâche légale. Lorsqu’il s’agit de données sensibles, il faut une base légale adoptée par le législatif (art. 16 et 25 CPDT-JUNE). De plus, il ne faut pas qu’une base légale l’en empêche (art. 26 CPDT-JUNE). Par exemple, une communication d'une caisse de chômage à un service social n'est possible qu'aux conditions de l’art. 97a LACI. De même pour les communications d'un office AI à un service de la population, dans ce cas, aux  conditions sont posées par l'art. 66a LAI. Quant aux communications spontanées entre les caisses de chômage et les offices AI, elles ne peuvent se faire qu'aux conditions de l’art. 32 al. 2bis LPGA.
En d'autres termes, chaque récolte et communication doit être examinée au cas par cas, afin de s’assurer que l’échange a lieu conformément aux bases légales. De plus, quand bien même la loi permettrait la communication, il faut que le principe de la proportionnalité soit respecté. Seules les données personnelles nécessaires peuvent être traitées (dossier 2024.5569).

Les échanges entre entités soumises à la CPDT-JUNE sont principalement régis par les articles 16-20 et 25-26 CPDT-JUNE.
Une entité peut communiquer des informations à une autre si :
1. Une base légale l’autorise ou si c’est nécessaire pour accomplir une tâche légale. Les entités doivent vérifier s'il existe des dispositions communales, cantonales ou fédérales sur l'entraide administrative.
2. Le traitement effectué par l’entité émettrice est compatible avec l’objectif de la collecte de l’entité destinataire.
3. Aucun intérêt privé prépondérant ne justifie un refus de communication.
4. Seules les données strictement nécessaires aux tâches de l’entité destinataire sont transmises.
5. Les données transmises sont exactes.
6. La communication respecte les standards usuels de sécurité.
Lors de ces échanges, il est essentiel de respecter le principe de finalité. L'entité émettrice doit s’assurer que l’usage prévu par l’entité destinataire est compatible avec l’objectif initial.
Si cette vérification n’est pas effectuée, l'entité émettrice risque d’atteindre les intérêts privés des personnes concernées. Pour éviter cela, elle devrait garantir à ces personnes le droit d’être entendu (voir détails), (dossier 2024.5272).

Les entités qui effectuent des contrôles fondés sur la LChim, doivent respecter les articles 44 Lchim et 73 ss Ochim. S'il est demandé l'accès à un document relatif au contrôle, ces dispositions ne permettent pas d'éviter le respect des règles de procédure d'accès à un document officiel. En revanche, les exceptions figurant  à l’art. 72 al. 3 let. b CPDT-JUNE doivent être interprétées à la lumière des règles fédérales précitées. L’entité sollicitée se doit d’examiner la demande d’accès et suivre le processus prévu (voir détails) (dossier 2024.5135).

Des données relatives aux employés peuvent être communiquées, notamment si une base légale le prévoit. L'art. 96b LACI en constitue une en faveur des entités chargées d'appliquer la LACI. Le respect du principe de la proportionnalité impose que la communication soit limitée aux données nécessaires à l'accomplissement des tâches de ladite entité (dossier 2024.5124).

La facturation de RHNE constitue un traitement de données personnelles sensibles et nécessite donc une base légale formelle, avec une densité normative adéquate, pour pouvoir être déléguée à une autre entité cantonale. La loi doit au moins contenir les exigences de l’art. 24 CPDT-JUNE sur le devoir d’information. L’externalisation de la facturation exige en plus une levée du secret médical, notamment en obtenant le consentement exprès et éclairé du patient (pour plus de détail sur la levée du secret médical, voir avis 2013.0460).
A relever enfin que, en principe, la simple qualité de patient d’un médecin constitue une donnée personnelle sensible soumise au secret médical (dossier 2023.4945).

Selon l’art. 25 CPDT-JUNE, une entité peut communiquer des données personnelles sensibles, si leur récolte est légitimée par une base légale formelle et s’il a été obtenu un consentement libre, parfaitement informé et spécifique quant à son objet.
Les autorités scolaires peuvent donc communiquer aux enseignants les mesures de besoin d’éducation particulier, pour autant qu’elles bénéficient d’un consentement valable des représentants légaux ou de l’enfant de plus de 12 ans (dossier 2023.5015).