Conditions pour les décisions automatisées (2022.4156)

Les décisions automatisées des entités doivent impérativement reposer sur une base légale qui devrait mentionner expressément le caractère automatique de celles-ci.

En droit public, les traitements étant soumis au principe de la légalité, une décision individuelle automatisée devra faire l’objet d’une base légale, comme l’exige la directive Schengen/Dublin (art. 11) pour les traitements qui y sont soumis, ainsi que la Convention 108+ (art. 9 ), tout comme l’art. 16 CPDT-JUNE.

Certes, selon l’art. 24a al. 1 let. b CPDT-JUNE il n’y a pas besoin d’informer les personnes concernées si le traitement est prévu dans une base légale matérielle. A priori, on pourrait penser qu’il serait dès lors inutile de mentionner expressément le caractère automatique de la décision, puisque l’exception serait réalisée en permanence par l’adoption d’une base légale suffisante. Le rapport explicatif l’AP-LPD (la version adoptée de la LPD n’a pas fondamentalement changé sur ce point) va d’ailleurs dans ce sens :

« L’AP-LPD contient une disposition spéciale s’agissant des décisions individuelles automatisées, de plus en plus fréquentes dans tous les secteurs de l’économie, mais aussi dans le secteur public (art. 15 AP-LPD). D’une part, le responsable du traitement devra informer la personne concernée de l’existence d’une décision individuelle automatisée lorsque cette dernière a des effets juridiques pour elle ou l’affecte de manière significative. D’autre part, il devra lui donner la possibilité de faire valoir son point de vue, sur la décision en tant que telle, ainsi que sur les données. Ces devoirs tomberont lorsque la décision individuelle automatisée est prévue par la loi. » (Principes généraux / Protection des données personnelles : contexte international et avant-projet de réforme du Conseil fédéral, in : CERT - Centre d'étude des relations du travail Band/Nr. 10, 2017).

Cependant, ce passage s’adresse surtout aux privés, puisqu’il est expressément imposé aux organes fédéraux le devoir de qualifier la décision automatisée comme telle. Cette exigence devrait déjà découler des règles sur la forme des décisions en matière administrative. D’autant plus, qu’en principe, le nom de l’agent responsable doit figurer dans la décision. Semble en revanche être débattue la question de la forme de la signature (manuscrite ou en fac-similé) (Pierre Moor, Etienne Poltier, Droit administratif, 2011, p. 345). Mais surtout, il paraît aller de soi que la base légale instituant de telles décisions devra prévoir l’équivalent de l’art. 21 al. 4 LPD, notamment parce que les cantons sont directement liés à Directive UE/680 qui impose cela (art. 11), de même qu’à la Convention 108+ (art. 9).