Risque élevé pour la personnalité ou les droits fondamentaux

L’existence d’un risque élevé dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement. Il n'est pas inutile de distinguer les risques "primaires" du traitement des "subséquents". Si les risques subséquents concernent les responsables du traitement eux-mêmes, ils ne relèvent pas l'art. 23b CPDT-JUNE, puisque ce dernier ne vise à protéger que la personnalité et les droits fondamentaux des personnes concernées. En revanche, la situation est différente lorsque la réalisation de ces risques subséquents pourrait en outre aggraver les dommages subis par les personnes concernées. Par exemple, lorsqu’un responsable du traitement est empêché, par son insolvabilité, de consacrer les moyens nécessaires à la maintenance de l’infrastructure afin d’assurer la protection technique des données personnelles qu’il traite.

Faute de jurisprudence suisse, il est repris des passages du "Guide relatif à l’annonce des violations de la sécurité des données et l’information des personnes concernées en vertu de l’art. 24LPD" du PFPDT, ainsi que les lignes directrices du Comité européen de la protection des données (CEPD) pour mieux définir cette notion. Selon ces documents,  un tel risque existe notamment dans les cas suivants :

Critères d'évaluation du risque élevé en matière de protection des données

L’évaluation du risque élevé repose sur plusieurs critères permettant d’analyser l’impact potentiel sur les personnes concernées.

L’appréciation du risque élevé repose sur une analyse globale tenant compte de la nature des données, des modalités de traitement et des conséquences pour les individus concernés. Lorsqu'un doute subsiste, il est recommandé d’adopter une approche prudente en admettant un risque élevé.

L’intensité de l’atteinte portée aux personnes les plus touchées est déterminante. Les critères suivants peuvent aider à approcher cette notion:

1. Nature des données traitées

Certaines catégories de données augmentent le risque potentiel pour les droits et libertés des personnes concernées.

Données sensibles : informations sur la santé, données biométriques, aide sociale, opinions politiques, convictions religieuses.

• Données hautement personnelles : courriers électroniques, documents d'identité, données financières, communications privées.

• Données accessibles au public : quand bien même leur disponibilité préalable peut atténuer le risque, il n'empêche que leur réutilisation peut avoir, dans certains cas, des conséquences graves.

2. Contexte du traitement

Certains circonstances augmentent le risque potentiel pour les droits et libertés des personnes concernées.

• Traitements à grande échelle : un volume important de données ou un traitement s’étendant sur une longue durée accroissent le risque.

Profilage et évaluation des individus : l’utilisation automatisée des données pour évaluer des aspects personnels (rendement au travail, situation financière, comportement, prédiction des risques de santé, etc.).

• Prise de décision automatisée avec effet juridique ou similaire significatif : peut entraîner exclusion, discrimination ou refus d’accès à un service.

• Croisement ou combinaison de bases de données : lorsqu’elles sont issues de traitements distincts et combinées de manière imprévue pour la personne concernée.

Surveillance systématique : collecte de données dans des espaces publics ou sans que la personne concernée puisse y échapper.

• Utilisation de nouvelles technologies : applications innovantes (ex. reconnaissance faciale, objets connectés) pouvant entraîner des risques nouveaux et non anticipés.

3. Facilité d’identification des personnes

Plus il est simple d’identifier une personne à partir des données traitées, plus le risque est élevé :

• Données directement identifiables : noms, adresses e-mail explicites.

• Pseudonymisation insuffisante : si les données pseudo-anonymisées permettent de retrouver l’identité avec facilité.

• Cryptage et mesures de sécurité : si les données sont efficacement chiffrées et inaccessibles aux tiers, le risque diminue.

4. Volume et durée du traitement

Un traitement impliquant un grand nombre de personnes, à grande échelle, ou sur une longue période est plus susceptible d’entraîner des risques accrus.

La portée géographique d’un traitement (à l’échelle nationale ou internationale) peut amplifier son impact.

5. Catégories de personnes concernées

Certaines populations sont particulièrement vulnérables face au traitement de leurs données :

• Mineurs : incapacité à consentir pleinement ou à s’opposer.

• Personnes en situation de handicap, malades, demandeurs d’asile, personnes âgées : risque accru de manipulation ou d’exploitation.

• Employés : déséquilibre de pouvoir dans la relation avec l’employeur.

6. Conséquences d'une violation de données

Lors d’une violation de sécurité, le risque élevé doit être identifié indépendamment des mesures correctives postérieures. Par exemple : une base de données temporairement inaccessibles mais rapidement récupérée sans fuite avérée peut réduire le risque. Une incertitude sur le devenir des données après une cyberattaque (ex. paiement d’une rançon) impose de présumer un risque élevé.

Selon la volonté du législateur exprimée à l'art. 23b CPDT-JUNE, un traitement de données sensibles à grande échelle, un profilage ou une surveillance systématique de grandes parties du domaine public constitue un risque élevé (critères mis en évidence). La plupart du temps, le responsable du traitement peut considérer qu’un traitement satisfaisant à deux autres critères créent un risque élevé. D’une manière générale, le CEPD estime que plus le traitement remplit de critères, plus il est susceptible de présenter un risque élevé pour la personnalité et les droits fondamentaux des personnes concernées, quelles que soient les mesures que le responsable du traitement envisage d’adopter.

Néanmoins, dans certains cas, le responsable du traitement peut considérer que même si son traitement ne satisfait qu’à un seul de ces critères, il constitue néanmoins un risque élevé.

Pour plus de détails, veuillez vous référer au guide du PFPDT, ainsi qu'aux lignes directrices du CEPD concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est « susceptible d’engendrer un risque élevé ».