Rapport 2024

La CPDT-JUNE prévoit que le PPDT s'efforce d'amener les parties à un accord lorsqu'il est saisi d'une requête reprochant à une autorité de ne pas avoir respecté celle-ci ; lorsque la conciliation échoue, la cause peut être transmise à la Commission de la protection des données et de la transparence (CPDT) pour qu'elle rende une décision susceptible de recours auprès des tribunaux cantonaux. Ci-après sont énumérées les quinze requêtes terminées en 2024. À ce jour une requête ouverte en 2023 est encore en cours de traitement ainsi que trois autres, ouvertes en 2024. Pour l’heure, trois conciliations font l’objet d’une transmission à la Commission de la protection des données et de la transparence.

CONCILIATIONS

En matière de protection des données

• Demande d'accès à un dossier de l'OPA par un mandataire avocat. Requête retirée [détails…].

En matière de transparence

• Demande d'accès à un document de la HEP-BEJUNE. Requête devenue sans objet [détails…].

• Demande d'accès à l'étude de la ligne 421 auprès des Transports publics neuchâtelois. Requête devenue sans objet [détails…].

• Opposition à une demande d'accès d’un rapport d’audit d’un cercle scolaire. Echec de la conciliation [détails…].

• Demande d'accès à des contrats, des géodonnées et des statistiques auprès du Service des transports. Requête devenue sans objet [détails…].

• Demande d'accès au procès-verbal d'une assemblée bourgeoise publique, qui s'est tenue en décembre 1988. Requête devenue sans objet [détails…].

• Demande d’accès à un rapport d’audit d’une fondation s’occupant d’hébergement, du maintien et de la réadaptation de personnes en situation de handicap physique. Requête devenue sans objet [détails…].

• Demande d'accès à un rapport d'audit du Service de protection de l'adulte et de la jeunesse. Requête devenue sans objet [détails…].

• Demande d'accès au rapport d'audit du Service de protection de l'adulte et de la jeunesse. Requête retirée [détails…].

• Demande d'accès au rapport relatif aux transports publics et à TransN. Requête devenue sans objet [détails…].

• Demande d'accès aux documents officiels relatifs à l'exploitation d'un terrain de football. Echec de la conciliation [détails…].

• Demande d'accès à des documents relatifs à la mise en place du concept éolien cantonal. Echec de la conciliation [détails…].

• Demande d'accès à des documents d'aménagement du territoire. Requête retirée [détails…].

• Demande d'accès à un rapport d'audit sur le fonctionnement d'un Conseiller communal. Conciliation aboutie [détails…].

• Demande d'accès à un rapport d'audit sur le fonctionnement d'un Conseiller communal. Conciliation aboutie [détails…].

Le PPDT doit surveiller l’application de la CPDT-JUNE et peut émettre des recommandations au besoin. Pour ce faire, il a pris l'initiative de vérifier le respect des règles de la protection des données dans divers cas de figure. Le nombre d’ouvertures de surveillances reste stable. En 2024, 13 surveillances ont été ouvertes et 11 se sont terminées (énumérées ci-dessous). Trois sont toujours en cours.

SURVEILLANCES

• Suite à la découverte d'une violation de sécurité non annoncée, il a été vérifié que les personnes concernées ont été informées et que des mesures correctrices ont été implémentées. Le nécessaire ayant été fait, le dossier a été clôturé sans mesure supplémentaire.

• Il a été rappelé à une entité que l'envoi d'e-mails communs à plusieurs tiers nécessitait l'utilisation du champ Cci.

• Il a été vérifié sommairement, en l'état, que le projet HAKA de communications du secondaire II avec les autres cantons n'a pas de problème rédhibitoire en matière de protection des données.

• Un contrôle de conformité d'un site internet d'une commune était prévu. Mais des mesures pertinentes ont été prises avant l'intervention.

• Dénonciation de la politique des cookies d'une plateforme permettant de faciliter les dépôts de plaintes auprès des polices cantonales (e-police.ch), mais cette problématique ne relève pas de la compétence du PPDT.

• Un service est rendu attentif à la question de savoir si l'utilisation du NAVS 13 dans une publication de la Feuille Officielle était indispensable. Il a finalement renoncé à l'utiliser.

• Il a été vérifié à satisfaction que les données personnelles d'un outil pour sonder la population ne transitaient pas en dehors de la Suisse.

• Il a été vérifié la légitimité d'une vidéosurveillance dans une rue communale. Il s'est avéré qu'il s'agissait de détecteurs pour enclencher l'éclairage.

• Il a été vérifié que l'utilisation d'un SI interne au Registre foncier NE respecte le principe de la finalité.

• Une entité a accepté de modifier sa pratique pour l'attribution des mots de passe de disques de données envoyés aux assurés.

• Il a été vérifié que les SRH se limitent à récolter les données nécessaires pour remplir les formulaires d'assurance-maladie et accident.

Depuis la révision de la CPDT-JUNE en octobre 2022, l’obligation d’annoncer les violations de la sécurité des données personnelles a été instaurée. Un formulaire d’annonce a été mis à disposition sur le site internet. Les responsables de traitements concernés peuvent ainsi annoncer sans délai la violation constatée. En 2024, quatre annonces ont été réceptionnées.

• Annonce d'hébergement de données sensibles très temporaire sur une application hébergée aux USA, sans avoir respecter préalablement toutes les conditions pour ce faire. Les mesures adéquates ont été prises dès la découverte.

• Une annonce de violation de sécurité est parvenue à propos d'un mauvais adressage d'un document personnel. Au vu des informations reçues, aucune mesure n'a été imposée. Il a néanmoins été rappelé que les responsables de traitements se doivent de vérifier que leur processus de traitement des données personnelles respectent les exigences de la CPDT-JUNE.

• Le sous-traitant d'une entité neuchâteloise ayant subi un hacking, l'annonce de violation de la sécurité des données a été transmise. Au vu des informations reçues, aucune mesure n'a été imposée. Il a été rappelé que les responsables de traitement se doivent de vérifier que leurs sous-traitants respectent les exigences de la CPDT-JUNE.

• Suite à une communication à des personnes non autorisées, il a été vérifié que les personnes concernées ont été informées et que des mesures correctrices ont été implémentées. Le nécessaire ayant été fait, le dossier a été clôturé sans mesure supplémentaire.

Les traitements de données personnelles, sensibles ou non, à risque élevé (art. 23b CPDT-JUNE), doivent faire l’objet d’une consultation auprès du PPDT et sont énumérés ci-dessous :

Le PPDT suit chaque année des cours de formation continue comme l’exigent les règles sur la protection des données :

• Formation sur la cybersécurité « Zero Invest Security » par Redguard, dans la cadre du Clusis, Neuchâtel ; 1 jour ; novembre.

• Forum SIEN 2024, Neuchâtel ; 1 jour ; novembre.

• Sécurité de l'information, enjeux actuels et audit IT pour juristes, Lausanne ; 1 jours ; novembre.

• 21^ème Journée de formation continue avocats 2024, Université de Neuchâtel ; 1 jour ; novembre.

• Les rendez-vous de la protection des données : Protection des données et droit à l’image, Genève ; 1 jour ; juin.

• 28. Symposium on Privacy and Security : Grenzlose Datennutzung – eingeschränkter Datenschutz ? Zürich ; 1 jour ; juin.

• Transparente Justiz ? - Gerichtsurteile im Spannungsfeld zwischen Öffentlichkeit und Schutz der Privatsphäre, Université de Berne ; 1 jour ; juin.

• Protection des données et concurrence, UniL CEDIDAC, Lausanne ; 1/2 jour ; mars.

Le PPDT est chargé de promouvoir la protection des données et la transparence, en informant et sensibilisant le public et les entités au sujet des principes inscrits dans la CPDT-JUNE. C’est pourquoi il est amené à donner les formations et conférences suivantes :

• Cours sur la protection des données : Données personnelles et réseaux sociaux, un danger ? CPNE, Neuchâtel ; novembre.

• Formation aux curateurs professionnels neuchâtelois, Neuchâtel ; octobre.

• Cours sur la protection des données et la transparence, SRHE, Neuchâtel ; septembre.

• Cours au personnel des établissements cantonaux d'assurance et de prévention – Neuchâtel (ECAP) et Jura (ECA), Neuchâtel ; juillet.

• Participation à un « Café transparence »  : caviardage, base légale et bonnes pratiques ; association Loi Transparence, Aarau ; juin.

• Cours aux techniciens informatiques du Centre professionnel neuchâtelois (CPNE) sur la protection des données, Neuchâtel ; juin.

• Formation aux avocats-stagiaires jurassiens, Delémont ; juin.

• Cours sur le statut personnel du sportif ; Université de Neuchâtel ; mai.

• Cours au personnel de l'administration jurassienne : Comprendre la protection des données, service des ressources humaines (SRH), Delémont ; avril.

• Participation à une table ronde de la protection des données en matière de travail, Université de Neuchâtel ; avril.

• Intervention donnée dans le cadre du cursus Bachelor en science des données, Université de Neuchâtel ; avril.

• Cours à l'École supérieure d'informatique de gestion, Delémont ; mars.

• Intervention donnée dans le cadre du cours Master « De l'administration "analogique" vers une administration numérique - L'évolution et les défis liés à la cyberadministration », Université de Neuchâtel ; mars.

• Cours aux collaborateurs du service informatique du Secondaire 2, Neuchâtel ; janvier.

• Cours aux collaborateurs du service de l'informatique (SIEN), Neuchâtel ; janvier.

Les autorités cantonales et communales ayant respecté les avis rendus par le PPDT, il n'a pas été nécessaire cette année de les contraindre à respecter la CPDT-JUNE par l'intermédiaire de l'outil de la recommandation.

Une recommandation impose aux responsables de traitement de décider s'ils entendent se soumettre ou non aux injonctions du PPDT. Ce dernier peut saisir la CPDT contre les décisions de refus.

Un formulaire sur le site internet du PPDT a été mis à disposition des autorités jurassiennes et neuchâteloises. Il est rappelé progressivement l’obligation de déclarer les fichiers de données sensibles² à l’ensemble des entités soumises à la CPDT-JUNE.

Les déclarations semblent exiger des efforts de l'administration pour lesquels elle juge parfois ne pas avoir momentanément les ressources. Le PPDT accompagne au mieux les entités dans ces démarches.

Jusqu’à fin janvier 2024, 173 fichiers jurassiens ont été déclarés et 303 neuchâtelois. Les déclarations n’ont pas beaucoup augmenté (+14), mais les entités ont été peu relancées. La cartographie des fichiers de données sensibles s’étoffe gentiment, mais le registre reste encore incomplet.

Le PPDT a régulièrement des contacts informels avec la suppléante du Préposé fédéral à la protection des données et à la transparence (PFPDT). Il est également le vice-président du groupe de coordination des autorités suisses de protection des données (ACPD) depuis 2011 (réunissant le PFPDT ainsi que tous les cantons) qui a notamment pour but d’échanger les informations nécessaires et utiles à la surveillance effective de l’utilisation du SIS, ainsi que de soutenir et coordonner les activités de surveillance de chacun de ses membres.

Depuis avril 2014, le PPDT a intégré le comité de privatim, conférence suisse des préposés cantonaux. Cette dernière soutient ses membres sur les questions générales d'importance internationale, nationale ou intercantonale. Cette institution est très utile, voire indispensable, pour se former des opinions et prendre des positions si possible coordonnées au niveau national. La complexité croissante des questions soumises aux autorités cantonales, qui sont souvent en grande partie identiques ou du moins similaires dans les cantons, nécessite une étroite collaboration. Le PPDT a pu, cette année encore, profiter de plusieurs interventions, notamment à propos des nouveautés introduites dans les règles de protection des données, telles que les analyses d’impact et les annonces de violations de sécurité, ainsi que des projets d’échanges entre les polices cantonales et du projet E-Déménagements toujours en cours.

Le PPDT est également membre, depuis 2015, de l’Organisation d’accompagnement intercantonal à Schengen/Dublin de la Conférence des gouvernements cantonaux chargée d’aider les cantons dans les changements imposés par l’Union européenne dans ce cadre-là.

Une collaboration informelle entre les préposés des cantons latins a également été mise sur pied. Il est prévu des réunions semestrielles en présentiel et des visioconférences régulières toutes les six semaines.

Bien que la Commission de la protection des données et de la transparence et le PPDT aient été mis dans le même centre financier, alors qu’il s’agit de deux autorités autonomes et indépendantes, les comptes ci-dessous ne prennent pas en considération les chiffres de la Commission.

Le budget 2024 a été extrêmement bien respecté puisqu’il en ressort une économie de SFr. 8'813.-. La plus grande partie des économies s’explique par la non-utilisation de prestations de services. L’attribution ou non de mandats dépend de la complexité et de l’ampleur des dossiers rencontrés ainsi que du temps à disposition. Le solde restant est inhérent à l’établissement d’un budget. Aucune charge hors salaire n’a dépassé le budget.

Par ailleurs, dans le passé, les comptes 2013 à 2016 (p. 129), 2017 à 2019 (p. 78) ainsi que les comptes de l’année 2023 (p. 38) ont été vérifiés par le Contrôle des finances jurassien. Si le premier rapport avait observé que le matériel informatique devait être imputé au compte 3111 ou 3113 au lieu du 3100, les deux derniers rapports se sont limités à constater que la comptabilité était régulièrement tenue, sans formuler de remarque.

Les graphiques ci-après permettent de détailler les 522 dossiers ouverts en 2024.

Le nombre d’ouvertures de dossiers est passé de 510 à 522 (+12) entre 2023 et 2024, soit une augmentation de près de 2.5 %. Le nombre de dossiers classés est équivalent à celui des dossiers ouverts (522). Fin 2024, seuls 59 dossiers étaient dans l’attente de nouvelles ou de réponses ; nombre stabilisé depuis 2020. Bien que la stabilisation du nombre de dossiers en cours contribue à conserver un bon suivi, le rythme de clôture des dossiers dépend davantage de leur vitesse de traitement par les administrations que par le PPDT. Pour l’heure, aucune entité n’attend avec impatience une détermination du PPDT.

Près de 40 % de l'activité consiste à conseiller le public et les entités soumises à la CPDT-JUNE. Le nombre de dossiers en matière de transparence se situe dans le bas de la fourchette moyenne, soit 50, alors qu’en matière de protection des données, l’augmentation est de 30 dossiers. Quant aux dossiers « mixtes », c’est-à-dire des activités pouvant traiter des deux matières, leur nombre a considérablement augmenté, passant de 222 en 2023 à 284 en 2024.

Les renvois au Préposé fédéral à la protection des données restent stables. Plus les administrés s’intéresseront au sujet de la protection des données, plus ces erreurs « d’aiguillage » surgiront. Il n’est pas facile pour les non-initiés de savoir quelle autorité est compétente dans un cas d’espèce.

Les dossiers relatifs aux communes représentent cette année près de 15 % du total, chiffre relativement constant au cours de ces dernières années.

La précision des statistiques est à relativiser. L’outil a surtout été prévu pour obtenir des chiffres à titre indicatif. Il n’est pas impossible qu’elles comportent quelques petites erreurs ou incohérences.

Selon l’outil d’analyse du site www.ppdt-june.ch, il ressort, pour l’année 2024, que :

• Plus de 85’000 pages consultées en une année.

• Les pages relatives aux modèles de documents, guides pratiques, entités concernées et AIPD font partie des pages les plus consultées.

• 234 pages consultées par jour en moyenne.

• 24 % des visiteurs ont utilisé Firefox et 29 % Chrome, alors que globalement, c’est plutôt respectivement 3.3 % et 64 %.

• 82 % des visiteurs ont utilisé un PC et 16 % leur téléphone.

• 23 % des utilisateurs viennent sur le site depuis une recherche Google.

L’outil statistique permet d’améliorer le ciblage des pages qui méritent une attention particulière et de vérifier l’efficacité de la communication par l’intermédiaire du site.

L’année 2024 a connu des chiffres similaires aux dernières années. Dans un contexte de transformations numériques, les enjeux liés à la vie privée, à la cybersécurité et à la gestion des données personnelles restent particulièrement prégnants.

Les 522 dossiers traités en 2024 se répartissent en 50 dossiers en matière de transparence, 284 « mixtes » et 188 en matière de protection des données. Le volume est stable, mais reflète une forte sollicitation de la part des entités publiques et des administrés. Le nombre de dossiers en cours (59) reste contenu, illustrant une bonne maîtrise des délais, malgré une dépendance forte au rythme de réponse des administrations.

De nouvelles publications sont apparues sur le site du PPDT, en particulier 24 avis sur des projets législatifs impactant la protection des données, la liste des 15 formations et conférences données à des publics variés (administrations, étudiants, professionnels), la liste des 13 surveillances ouvertes et 11 clôturées, sans nécessité de mesures contraignantes, ainsi que les 4 violations de sécurité signalées. Aucune recommandation formelle n’a été nécessaire, ce qui témoigne du respect global des demandes de correction.

En matière de transparence, les 9 requêtes reçues montrent une lente progression de la culture de l’accès à l’information. Deux sont encore en cours, trois conciliations ont échoué. A relever que souvent les entités sollicitées sont encore peu préparées à répondre efficacement aux exigences légales de transparence.

Le budget a été rigoureusement respecté, avec une économie de 8'813 CHF, principalement liée à une moindre utilisation de prestations externes.

L’année a souligné l’importance d’une sensibilisation continue, d’une anticipation des exigences légales par les entités publiques et d’un suivi minutieux des pratiques numériques. L’augmentation des sous-traitances impose un défi conséquent aux administrations qui devront rigoureusement inventorier et classifier leurs données. Si cela peu paraître envisageable pour les « grandes » administrations dotées de ressources suffisantes, qu’en est-il des administrations plus modestes, dont les ressources sont déjà justes suffisantes pour effectuer « le métier » ?

Pour 2025, il s’agira de poursuivre au mieux l’accompagnement des entités pour qu’elles continuent de s’adapter aux nouveautés amenées par la révision de la CPDT-JUNE. Cette démarche exigera encore un effort momentané conséquent, tant de la part du PPDT que des entités concernées. Le site internet www.ppdt-june.ch maintient son développement pour répondre en particulier aux questions suscitées par les nouvelles dispositions légales ainsi qu’à toutes questions en général, notamment par la page Thèmes de A à Z.

Notes :  

[1] Par autorités cantonales et communales, il faut comprendre le Grand Conseil, son bureau et les commissions qui en dépendent; le Conseil d'État, l'administration cantonale et les commissions qui en dépendent; le pouvoir judiciaire; les Conseils généraux et communaux, leurs administrations et les commissions qui en dépendent; les établissements et corporations de droit public cantonaux et communaux, leurs administrations ainsi que les commissions qui en dépendent; les personnes morales et autres organismes de droit privé dans lesquels une autorité détient une participation majoritaire; les personnes privées, lorsqu'elles accomplissent une tâche de droit public sur délégation d'une autorité; les groupements d'autorités.

[Retour au texte]

[2] Définition de données sensibles : opinions ou appartenance à une association syndicale, religieuse, politique ou philosophique; données relatives à la santé; données que la personne concernée réserve à un cercle très restreint de proches; lieu/pays d'origine, ethnie; prestations sociales; mesures de curatelles; poursuites ou sanctions pénales ou administratives; données biométriques ou génétiques; ensemble de données personnelles permettant notamment, d'analyser ou prédire des éléments concernant le travail, la situation économique, la santé, les préférences personnelles, les centres d'intérêts, le comportement, la fiabilité, la localisation ou les déplacements.

[Retour au texte]