Profilages

Profilage : toute forme de traitement automatisé de données consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique.

Profilage à risque élevé : tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu’il conduit à un appariement de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique.

Cette définition correspond à l’actuelle notion de « profil de la personnalité » selon l'ancien article 14 CPDT-JUNE. Seule l’expression « assemblage de données » est remplacée par « appariement de données » afin de mieux tenir compte sur le plan linguistique des nouvelles possibilités technologiques. Il en découle que la jurisprudence relative au profil de la personnalité (en particulier l’arrêt principal du Tribunal administratif fédéral dans l’affaire Moneyhouse) reste déterminante.

Pour simplifier, il y a profilage à risque élevé au sens de l’art. 14 CPDT-JUNE lorsque son résultat est un profil de la personnalité au sens de l'ancien article 14 CPDT-JUNE. Il s’agit par conséquent d’une combinaison entre méthode de traitement des données (profilage) et résultat du traitement des données (profil de la personnalité).

Cette définition légale tient compte du fait qu’un grand nombre de données (même si elles ne sont pas particulièrement sensibles) peuvent être appariées et donner une image de la personne concernée qui, elle, constitue un risque élevé pour les droits de la personnalité et les droits fondamentaux. La personne concernée n’a souvent aucun moyen d’influer sur cette image et ne peut contrôler ni sa justesse ni son utilisation. Elle se trouve par conséquent limitée dans sa liberté de se représenter comme elle le tient pour juste. Si des données personnelles sont collectées sur une longue période (« profil sur la durée »), elles débouchent plus aisément sur un profil de la personnalité ou un profilage à risque élevé que s’il ne s’agit que d’un relevé momentané.

Dans la pratique, le profilage réalisé par des entités peut aboutir à des atteintes graves aux droits fondamentaux des personnes concernées pour d’autres motifs (c.-à-d. sans que son résultat soit un profil de la personnalité). Songeons par exemple au profilage de mineurs ou d’autres personnes vulnérables, ou encore à celui dont le but est de refuser d’importantes prestations (^{Révision totale de la loi fédérale sur la protection des données (LPD) (Aperçu des principales modifications en vue de l’élaboration des bases légales concernant le traitement de données par les organes fédéraux), OFJ, 2022}).

Selon l'art. 16 CPD-JUNE, les profilages à risque élevé doivent être expressément prévus dans une loi adoptée par le législatif ou par une base légale adoptée par l'exécutif. La deuxième option n'est possible que si ledit profilage :

1. est indispensable à l’accomplissement d’une tâche clairement spécifiée dans une loi au sens formel;

2. ou n'est pas susceptible d'entraîner des risques particuliers pour la personnalité et les droits fondamentaux des personnes concernées.