Entités et personnes concernées

Les documents reçus par l'École hôtelière de Lausanne (EHL), bien qu'elle soit une HES, ne constituent pas des documents officiels soumis à la CPDT-JUNE. Pour que cette dernière soit applicable, il faudrait que la HES-SO, dont le siège est à Delémont, détienne les informations et surtout qu’elle en soit la destinataire principale (art. 75 al. 2 CPDT-JUNE et références indiquées). Les documents reçus par l’EHL vaudoise, bien qu’elle soit rattachée au domaine des hautes écoles spécialisées (HES), ne constituent pas des documents officiels soumis à la CPDT-JUNE.
Pour que cette loi soit applicable, il faudrait que la HES-SO — dont le siège se trouve à Delémont — détienne les informations concernées et en soit la destinataire principale (art. 75, al. 2, CPDT-JUNE et références citées). En l’état, lorsque les documents sont reçus et traités uniquement par l’EHL vaudoise, les conditions d’application de la CPDT-JUNE ne sont donc pas remplies (dossier 2025.5690).

Les compagnies de transports présentes dans les cantons de Neuchâtel ou/et Jura ne sont pas soumises aux règles de protection des données de la CPDT-JUNE. Une demande d'accès à ses propres données doit donc être effectuée selon les modalités de la LPD (dossier 2025.6020).

Selon le Tribunal fédéral (^{ATA/862/2024 du 23.07.2024}), l’intérêt de la personne dénoncée à connaitre l'identité de ses dénonciateurs peut se voir limiter par les intérêts publics de l'État ou les intérêts légitimes du tiers dénonciateur. Toutefois, il ne peut être accepté un intérêt général pour garantir la confidentialité de tout informateur ; il convient de se déterminer par une pesée des intérêts en examinant ceux du dénoncé et ceux du dénonciateur […]. Ne saurait toutefois bénéficier d’une telle protection le dénonciateur qui semblerait avoir agi dans le but de nuire aux intérêts de la personne dénoncée.
Autrement dit, la règle est la non communication du nom, à moins qu’il soit très vraisemblable que la dénonciation n’ait eu pour but que de nuire au dénoncé. En pareil cas, il est sans doute difficile aux entités de trancher une telle question, quand bien même la dénonciation se serait avérée mal fondée.
C’est pourquoi les entités ont intérêt à suivre la procédure expliquée dans ce didacticiel, en cliquant sur les boutons verts/rouges proposés : https://www.ppdt-june.ch/fr/Documentation/Guides-pratiques/Procedures/Procedures-expliquees-aux-administres.html#liste (dossier 2024.5438).

Selon l’art. 25 CPDT-JUNE, la communication est permise, mais elle n’oblige pas les entités à communiquer. Parallèlement, les entités doivent respecter l’art. 26 CPDT-JUNE si la communication porte atteinte à un intérêt prépondérant privé, en particulier celui de la personne concernée.
Quant à l’art. 25 al. 2, il exige que le demandeur mentionne un intérêt digne de protection et limite les données transmissibles.
Même si la demande provient d'un avocat, celui-ci doit la justifier. Si la motivation est crédible et qu’il n’y a pas de blocage d’adresse, les entités peuvent, mais ne sont pas obligées, communiquer l'adresse, conformément à l’art. 25 al. 2.(dossier 2024.5368).

L’association Jura Tourisme accomplit une tâche publique déléguée par la loi (art. 3 LTour JU). Quant à la BCN, il s’agit d’un établissement de droit public constitué par la loi (art. 2 LBCN NE). La première est soumise à la CPDT-JUNE, conformément à l’art. 2 let. d, alors que la deuxième l’est conformément à l’art 2 let. c. Toutes les deux sont donc incontestablement soumises à la CPDT-JUNE.
Cependant, la BCN, pour son activité bancaire commerciale, échappe aux règles de protection des données cantonales (mais pas de la transparence) parce qu’elle traite des données dans le cadre d'une activité soumise à la concurrence économique régie par le droit privé, conformément à l’art. 15 let. c CPDT-JUNE, (dossier 2024.5338).

Les entités sont soumises aux contrôles du PPDT et, si elles décident de sous-traiter, la responsabilité est transférée au sous-traitant. Il appartient à l'entité qui sous-traite de gérer les coûts potentiels. Les entités doivent également s’assurer que le sous-traitant respecte les règles, notamment : « Le responsable du traitement veille notamment à ce que le sous-traitant respecte la présente convention et qu'il n'effectue pas d'autre traitement que celui confié. Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données. »
Par conséquent, il est dans l’intérêt des entités de définir qui assumera les coûts, ainsi que la périodicité et l’étendue des audits (dossier 2024.5367).

Une entité qui gère une billetterie, ne peut communiquer des données personnelles qu'aux conditions de l’art. 25 CPDT-JUNE. Elle n'est en droit d'envoyer des données personnelles à une association, que si elles bénéficient d’une base légale ou si elles obtiennent le consentement exprès (opt-in et non pas opt-out) et éclairé des personnes concernées (dossier 2024.5318).

Les règles applicables aux communications d'entité à des entreprises privées de formation dépendent de la relation contractuelle.
Si l'entreprise remplit les conditions pour être également qualifiée d'entité, il est possible de communiquer toutes les données personnelles nécessaires à l’accomplissement des tâches légales déléguées. Sinon, il faut une base légale ou le consentement de la personne concernée (art. 25 CPDT-JUNE), (dossier 2024.5294).

Si une entreprise agit au nom et pour le compte d’une autorité cantonale ou communale, elle bénéficie de l’art. 25 CPDT-JUNE permettant de communiquer les données nécessaires. Mais il lui appartient de justifier de ses pouvoirs de représentation (dossier 2024.5167).

Pour être qualifié d'entité au sens de la CPDT-JUNE, il faut figurer dans la liste de l'art. 2 CPDT-JUNE et déterminer, seule ou conjointement, les finalités et les moyens des traitements des données. Alors qu'un sous-traitant est une personne privée ou une entité qui traite des données pour le compte du responsable de traitement (dossier 2024.5167).

Les établissements d’assurances incendies JU et NE ne peuvent communiquer des données personnelles à des tiers qu’aux conditions de l’art. 25 CPDT-JUNE; notamment si une loi le permet ou si les personnes concernées ont donné leur consentement (dossier 2023.4819).

La facturation de RHNE constitue un traitement de données personnelles sensibles et nécessite donc une base légale formelle, avec une densité normative adéquate, pour pouvoir être déléguée à une autre entité cantonale. La loi doit au moins contenir les exigences de l’art. 24 CPDT-JUNE sur le devoir d’information. L’externalisation de la facturation exige en plus une levée du secret médical, notamment en obtenant le consentement exprès et éclairé du patient (pour plus de détail sur la levée du secret médical, voir avis 2013.0460).
A relever enfin que, en principe, la simple qualité de patient d’un médecin constitue une donnée personnelle sensible soumise au secret médical (dossier 2023.4945).

Selon l’art. 25 CPDT-JUNE, une entité peut communiquer des données personnelles sensibles, si leur récolte est légitimée par une base légale formelle et s’il a été obtenu un consentement libre, parfaitement informé et spécifique quant à son objet.
Les autorités scolaires peuvent donc communiquer aux enseignants les mesures de besoin d’éducation particulier, pour autant qu’elles bénéficient d’un consentement valable des représentants légaux ou de l’enfant de plus de 12 ans (dossier 2023.5015).

Si un système d’information fait l’objet d’une violation de sécurité, seul le responsable de traitement doit faire l’annonce de violation à l’autorité à laquelle il est soumis. Les entités qui ont communiqué des données personnelles à ce système ne sont pas tenues de respecter l’art. 23c CPDT-JUNE (dossier 2023.4809).

Lorsqu’une entité ne répond pas à une demande fondée sur la CPDT-JUNE rapidement, comme les art. 39 et 76 CPDT-JUNE le prévoient, la partie demanderesse peut demander au PPDT la tenue d’une séance de conciliation (art. 40 CPDT-JUNE) (voir modèles) (dossier 2023.4954).

Le personnel des entités, telles que les Communes ou des services cantonaux, ne sont pas en droit d’utiliser leur accès privilégié aux données de l’établissement cantonal d’assurance incendie pour communiquer des données personnelles à des tiers ou d’utiliser ces dernières à d’autres fins (dossier 2023.4622).

Le personnel des entités, telles que les Communes ou des services cantonaux, ne sont pas en droit d’utiliser leur accès privilégié au Registre Foncier pour communiquer des données personnelles à des tiers (dossier 2022.4497).

L'Eglise réformée évangélique jurassienne est une entité soumise à la CPDT-JUNE (dossier 2020.3415).

Les entreprises procédant au transport de détenus pour le compte des autorités cantonales sont des entités au sens de la CPDT-JUNE (dossier 3433).

Les adresses e-mails privées et professionnelles sont des données personnelles non sensibles. Si, selon un mandat de prestation, une association ou une entreprise privée doit en recevoir une liste, les communications doivent répondre aux exigences de l'article 25 CPDT-JUNE et des principes généraux, et plus particulièrement celui de la finalité (art. 18). Les personnes concernées doivent être préalablement conscientes de l'existence de cette communication (dossier 2017.1707).

Les transports publics cantonaux (TransN, CJ, …) sont soumis aux règles fédérales et à la surveillance du Préposé fédéral à la protection des données et à la transparence (PFPDT) en matière de vidéosurveillance (dossier 2015.1092).