Rapport 2021

Le Grand Conseil neuchâtelois a traité le rapport dans le cadre de l'approbation globale des comptes et de la gestion pour l'exercice 2021 (extrait du PV de la séance du 28 juin 2022 à 13h30).

Le Parlement jurassien a approuvé le rapport par xx voix, x non et x abstention, lors de sa séance du x septembre 2021 (PV n° xx). Débat et votes publiés dans le Journal des débats (en cours).

Le hacking avait déjà frappé des Communes romandes, mais l’année 2021 a été marquée par la médiatisation des vols et du chiffrement des données des autorités de Rolle et Montreux. Le risque d’être victime de pirates s’est ainsi rapproché et les responsables de traitement des collectivités publiques romandes ont réalisé qu’il pouvait se réaliser. Le premier trimestre 2022 l’a démontré avec le cas de l’Université de Neuchâtel.

C’est à l’occasion de ces malheureux événements que les règles de la protection des données, souvent vues comme chronophages, voire excessivement formalistes, prennent tout leur sens. Notamment, le respect rigoureux du principe de la proportionnalité, qui ne permet pas d’éviter le piratage, mais d’affronter un vol de données personnelles plus sereinement car « LES DONNÉES QUE NOUS N’AVONS PAS, NE PEUVENT PAS NOUS ÊTRE VOLÉES ». Autrement dit, ne pas conserver « en production » ou ne pas récolter inutilement des données personnelles qui ne sont plus ou pas indispensables à l’accomplissement des tâches en cours, réduit considérablement les risques d’atteintes à la personnalité des administrés. Le rapport n° 74 de la Cour des comptes vaudoise « La protection des données personnelles dans l’Administration cantonale vaudoise » relève d’ailleurs la même problématique : « […] La majorité des entités n’ont pas non plus entamé de réflexion sur les règles de conservation et d’archivage à appliquer pour leurs données sous l’angle des dispositions en matière de protection des données. […] ». Nul doute que le constat serait sans doute similaire dans les cantons de Neuchâtel et du Jura.

Certaines entités sont friandes des différents moyens de publication sur internet (réseaux sociaux, Youtube, Tiktok, Twitter…) afin d’optimiser leur communication. Toutefois, celles-ci devraient être plus attentives lorsque des données personnelles sont en jeu. Par exemple, les débats publics sont certes ouverts à tous, mais il n’empêche que leur contenu ne peut pas être diffusé sur internet inconditionnellement lorsque des données personnelles sont traitées. Les activités de l’État répondent à des conditions plus exigeantes que celles des acteurs privés. C’est pourquoi la justification « que tout le monde fait ça » n’est pas audible. Sinon, pourquoi ne pas financer le matériel scolaire en permettant l’inscription de publicités ?

Au-delà des points négatifs relevés, soulignons que durant la crise du COVID-19, les médias ont épinglé plusieurs cantons qui utilisaient une plateforme pour le formulaire d’inscription à la vaccination, non conforme aux règles de la protection des données. La sensibilisation à ces dernières dans les cantons du Jura et de Neuchâtel n’a pas été vaine puisqu’ils ne figuraient pas dans la liste.

L’année en cause marque également l’adoption du projet de révision de la CPDT-JUNE par les deux exécutifs cantonaux. Le droit cantonal améliorera la protection des administrés et sera compatible avec les nouvelles exigences du Conseil de l’Europe (Convention 108+) et des accords Schengen/Dublin.

Au niveau de la transparence, la décision du 15 avril 2021 de la Commission de la protection des données et de la transparence (CPDT) confirme que l’intérêt public à connaître les conclusions d’un rapport d’audit sur d'éventuels problèmes rencontrés dans la gestion d’un service, l’emporte sur les intérêts de ses anciens dirigeants, et ce quand bien même ceux-ci remettent en question la véracité, la présentation des faits et les jugements de valeur du rapport d’audit. De manière générale, les problèmes d’accès sont régulièrement causés par la forme des rapports peu ou pas suffisamment compatible avec le droit d’accès aux documents officiels. Un effort sur celle-ci économiserait sensiblement les ressources utilisées pour traiter une demande d’accès.

Quant à la neuvième année d’activité, la croissance du nombre des dossiers a une fois de plus sensiblement augmenté. Elle n’était que de 1.9 % en 2020 et est passée à 9.6 % en 2021. Il y a eu presque autant de dossiers ouverts que clôturés. Les dossiers en cours ne s’élèvent qu’à cinquante-six (cinquante-huit fin 2020), mais ce chiffre est presque exclusivement dépendant des parties concernées et non pas du PPDT. L’augmentation du nombre de dossiers s’explique peut-être par la mise en lumière régulière de la problématique de la protection des données dans le cadre de la crise du COVID-19. Afin d’optimiser la gestion du volume d’affaires, le cockpit de gestion des dossiers du PPDT a sensiblement été amélioré. Le registre des fichiers de données sensibles s’est faiblement étoffé (+ trente). Les responsables de fichiers n’ont été que timidement relancés en 2021, compte tenu de la crise sanitaire qui a provoqué d’autres priorités pour ceux-ci. Lorsque la situation ira mieux, de gros efforts resteront à faire pour obtenir une meilleure cartographie des données sensibles traitées par les entités soumises à la CPDT-JUNE.

La Commission de la protection des données et de la transparence n’a rendu que la décision précitée en 2021. En revanche, cinq nouvelles requêtes de conciliation ont été réceptionnées durant cette même année ; parmi lesquelles : aucune n’était en cours de traitement au 31 décembre ; quatre se sont clôturées sans qu’un échec de la conciliation ne soit constaté. Une seule requête a fait l’objet d’un constat d’échec de la conciliation, sans que cela ait conduit, à ce jour, à la saisie de la CPDT pour qu’elle rende une décision.

En ce qui concerne le « quotidien » du PPDT, l’essentiel de ses activités a consisté à répondre aux questions de l'administration et du public, concernant principalement la protection des données et accessoirement la transparence, ainsi que de sensibiliser au mieux les personnes concernées, notamment à travers le site internet www.ppdt-june.ch. Quinze nouvelles surveillances de la gestion des données personnelles ont également été entreprises. Aucune n’a dû faire pour l’instant l’objet d’une recommandation contraignante. Plusieurs vidéosurveillances ont fait l’objet de demandes de régularisation par le PPDT, qui sont en cours de traitement par les entités concernées. L’utilisation du Système d’Information Schengen (SIS II) et le Système central d’information sur les visas (VIS) n’ont pas fait l’objet d’un contrôle durant cette année pour les raisons que l’on connaît. Malgré l’augmentation des dossiers, il a tout de même été possible de prendre le temps d’améliorer le cockpit de suivi des dossiers afin de gagner en productivité.

Enfin, la conclusion sera quasi la même qu’en 2020. L’augmentation de dossiers intercantonaux problématiques doit être clairement signalée. Beaucoup de préposés cantonaux constatent, pour ne pas dire déplorent, que des fournisseurs plus ou moins publics, voire privés, proposent des projets de traitements de données intercantonaux sans avoir les ressources nécessaires pour traiter les questions de protection des données. Or, dès qu’un examen est effectué par une autorité de protection des données, il est (trop !) régulièrement constaté que des points élémentaires, tels qu’un contrat en bonne et due forme ou les bases légales nécessaires, ne sont pas respectés. Les projets étant souvent bien avancés et ayant déjà mobilisé de volumineuses ressources, les autorités concernées se retrouvent dans un certain embarras.

La convention intercantonale relative à la protection des données et à la transparence dans les cantons du Jura et de Neuchâtel (CPDT-JUNE), entrée en vigueur le 1er janvier 2013, a  institué un préposé à la protection des données et à la transparence (PPDT) commun pour les cantons du Jura et de Neuchâtel, ainsi qu'une Commission de la protection des données et de la transparence (CPDT).

Le PPDT s'occupe non seulement de la protection des données personnelles traitées par les autorités cantonales et communales¹, mais aussi de la transparence de ces dernières.

Il est principalement chargé dans ces deux domaines de :

• Promouvoir la protection des données et la transparence, en informant et sensibilisant le public et les entités soumises à la CPDT-JUNE au sujet des principes inscrits dans cette dernière.

• Assister et conseiller le public et les entités soumises à la CPDT-JUNE à propos des sujets régis par cette dernière.

• Se prononcer sur les projets d’actes législatifs ayant un impact sur la protection des données et la transparence.

• Se prononcer sur les projets de vidéosurveillance des entités soumises à la CPDT-JUNE.

• Concilier les parties lorsqu'il est saisi d'une requête parce qu'une entité soumise à la CPDT-JUNE n'a pas pleinement accepté une demande fondée sur cette dernière.

• Surveiller activement les entités soumises à la CPDT-JUNE pour vérifier qu'elles appliquent correctement la convention, et émettre des recommandations lorsqu'un manquement est constaté (exclusivement en matière de protection des données).

• Saisir la CPDT lorsque la CPDT-JUNE le lui permet.

• Tenir le registre public des fichiers.

• Rendre un rapport annuel d'activité aux gouvernements et parlements des deux cantons.

Monsieur Christian Flueckiger, avocat, docteur en droit, a été désigné pour occuper le poste de préposé à la protection des données et à la transparence (PPDT) pour un mandat de cinq ans, renouvelable tacitement.

Le PPDT est nommé conjointement par le Gouvernement jurassien et le Conseil d'État neuchâtelois, mais il s'acquitte de ses tâches de manière totalement autonome et indépendante. Il ne peut recevoir aucune instruction pour les activités qu'il doit accomplir. Il dispose de son propre budget.

Son taux d'activité est de 100 % et il bénéficie d'une collaboratrice administrative travaillant à 60 %.

Le PPDT doit promouvoir la protection des données et la transparence, en informant et sensibilisant le public et les entités soumises à la CPDT-JUNE au sujet des principes inscrits dans cette dernière (art. 8 al. 1 CPDT-JUNE).

La promotion de la protection des données et de la transparence passe principalement par quatre vecteurs, soit le site internet www.ppdt-june.ch, les newsletters/flux RSS, les formations et les médias.

Le premier s’étoffe quotidiennement dans le but de répondre au mieux aux questions que se posent le public et les entités soumises à la CPDT-JUNE.

Un flux RSS/newsletters permet d’être informé périodiquement des nouveautés. Il suffit de s’y inscrire en cliquant sur l’icône adéquate de la page d’accueil (www.ppdt-june.ch).

La rubrique des guides et aide-mémoire est régulièrement complétée afin de sensibiliser au mieux les entités soumises à la CPDT-JUNE et le public. Tous sont accessibles sous ce lien : Guides pratiques.

Le PPDT a donné onze formations dont la liste est détaillée sous ce lien : Conférences et mandats.

Ses activités ont également fait l'objet de trois passages dans différents médias, dont les références figurent sous ce lien : Revue de presse.

Le PPDT doit assister et conseiller le public et les entités soumises à la CPDT-JUNE à propos des sujets régis par cette dernière (art. 8 al. 3 CPDT-JUNE).

Un peu moins de la moitié de l'activité (45 %) du PPDT consiste à répondre aux questions de l'administration et du public. Le sujet de la protection des données provoque davantage de questions que celui de la transparence des activités étatiques, comme les statistiques présentées ci-après le démontrent (voir Statistiques).

En 2021, le PPDT a publié 33 avis et prises de position en matière de protection des données et 13 en matière de transparence.

AVIS PUBLIÉS EN MATIÈRE DE PROTECTION DES DONNÉES

• Le service de la consommation et des affaires vétérinaires ne bénéficie actuellement pas de la base légale suffisante pour offrir l’accès à ses homologues aux autorisations de commerce d’animaux qu’il a délivrées [lire la suite…].

• Tout un chacun est en droit d’obtenir la liste nominative des experts désignés par l’OAI, mais une publication sur internet ne serait pas respectueuse de la protection de la personnalité des médecins concernés [lire la suite…].

• Une publication papier, audio ou vidéo des débats d’un organe législatif ne peut pas être publiée sur internet sans supprimer les données personnelles qui y figureraient [lire la suite…].

• Après son examen, l’arrêté en cause paraît conforme aux règles sur la protection des données et à la transparence [lire la suite…].

• La diffusion des débats publics exclusivement sur YouTube, Facebook, et autre produit similaire est contraire à la CPDT-JUNE. S’ils devaient être diffusés parallèlement sur le site de la commune (en utilisant un outil dont les autorités ont les garanties contractuelles qu’il assure le respect de la CPDT-JUNE), ils doivent impérativement être ANONYMISÉS. Par ailleurs, le droit à l’image des élus (art. 28 ss CC) paraît devoir imposer un minimum d’informations actives préalables pour une diffusion sur les réseaux sociaux, voire un consentement en l’absence d’une base légale formelle. La protection de la personnalité des élus communaux est plus étendue que celle des élus fédéraux, voire cantonaux  [lire la suite…].

• Les entités soumises à la CPDT-JUNE sont en droit de stocker/transférer des données en utilisant un Cloud, pour autant que les conditions soient remplies. Il faut tout d'abord procéder à une analyse d'impact selon l'aide-mémoire de Privatim. Les critères principaux sont la nature des données traitées, le droit applicable, le for, le lieu du traitement des données (situation des serveurs, la protection des secrets, le contenu du contrat, la récolte éventuelle de métadonnées par le fournisseur, ainsi que le chiffrement et la gestion des clés. Par exemple, des données personnelles soumises au secret de fonction et non chiffrées ne peuvent pas être hébergées à l'étranger. Sans l'obtention de conditions particulières expressément accordées à l'entité par contrat, pCloud, Mega, Box, OneDrive, Google Drive, Dropbox, iCloud, etc., ne remplissent à priori pas les conditions susmentionnées. Le maître de fichier qui passerait outre cet avis engage sa responsabilité envers les personnes dont les données seraient envoyées sur les services précités et pourrait encourir des sanctions pénales [lire la suite…].

• L’article 100 LPol prévoit que la police neuchâteloise peut enregistrer, à des fins probatoires, de compréhension, de formation, ou de contrôle qualité, les appels entrants et sortants gérés par la centrale d'engagement ainsi que les communications POLYCOM. Les enregistrements sont conservés pendant un an, puis détruits à la fin de cette période [lire la suite…].

Sous ces liens, se trouvent l'ensemble des Avis et Prises de position du PPDT pour 2021.

AVIS PUBLIÉ EN MATIÈRE DE TRANSPARENCE

• Dans les cantons de Neuchâtel et Jura, les oppositions au PAC sont émises avant toute prise de décision.  Elles interviennent donc dans une phase non contentieuse de la procédure d’adoption du PAC. Par conséquent les règles sur la transparence s’appliquent [lire la suite…].

• Tout un chacun est en droit d’obtenir la liste nominative des experts désignés par l’OAI, mais une publication sur internet ne serait pas respectueuse de la protection de la personnalité des médecins concernés [lire la suite…].

• Une publication papier, audio ou vidéo des débats d’un organe législatif ne peut pas être publiée sur internet sans supprimer les données personnelles qui y figureraient [lire la suite…].

• L’arrivée des règles de la transparence a ouvert une grande brèche dans le secret de fonction, que le Tribunal fédéral ne cesse d’agrandir d’arrêt en arrêt sur ce thème. Les autorités cantonales ne peuvent pas se reposer sur le devoir de diligence et de fidélité pour garder la maîtrise sur la gouvernance de l’information « transparente » [lire la suite…].

Sous ce lien, se trouvent l'ensemble des Avis et Prises de position du PPDT pour 2021.

La CPDT-JUNE prévoit que le PPDT se prononce sur les projets d’actes législatifs ayant un impact sur la protection des données et la transparence.

Le PPDT a été consulté vingt fois en 2021 :

PROJETS SOUMIS AU PPDT

• Projet de modification de l’ordonnance concernant la surveillance électronique (RSJU 341.11).

• Projet d'ordonnance Covid-19 pour établir des listes de vaccinés dans les établissements médicaux.

• Projet de révision de l'ordonnance concernant le guichet virtuel sécurisé (RSJU 170.421).

• Convention intercantonale PICSEL.

• Projet de modification de la loi d'introduction du code civil suisse (LiCC; RSJU 211.1) en vue de la mise en œuvre de la surveillance électronique (LiLPC; RSJU 831.30).

PROJETS SOUMIS AU PPDT

• Examen des nouveaux règlements internes de traitement de l'association pour le dépistage du cancer (ADC BEJUNE).

• Projet de loi sur la lutte et la prévention contre le surendettement (LLPS; RSN 831.3).

• Projet de loi portant sur la création d’un établissement autonome de droit public (AROSS).

• Projet de décret portant adhésion à l’accord intercantonal sur les marchés publics du 15 novembre 2019 (AIMP 2019) et d’un projet de loi sur les marchés publics (LCMP).

• Examen des conditions générales d'utilisation des ressources informatiques du Secondaire 2.

• Questions sur l'OLPD pour la consultation fédérale.

• Mise en place d'une vidéosurveillance par le SCAN.

• Projet de révision de l’arrêté relatif aux cours de langue et de culture d’origine (LCO) dans la scolarité obligatoire (RSN 410.107).

• Projet de loi portant modification de la Loi concernant l'introduction du code civil suisse (LI-CC) (LI-CC; RSN 211.1).

• Projet de règlement de police dans la commune de St-Blaise.

• Mise en consultation du projet de règlement d’application de la loi sur l’insertion des jeunes en formation professionnelle (R-LIFP; RSN 411.112.).

• Projet de modification du règlement d'application de la loi sur l'accueil des enfants (REGAE; RSN 400.10.

• Consultation d'un projet de règlement sur le registre cantonal des tumeurs.

PROJET SOUMIS AU PPDT

• Projet de révision de la loi fédérale du 18 décembre 2020 sur la sécurité de l'information au sein de la Confédération (loi sur la sécurité de l'information, LSI) prévoyant l’obligation d’annonce des cyberattaques.

• Projet de révision totale de l'ordonnance relative à la loi fédérale sur la protection des données (OLPD; RS 235.11).

La CPDT-JUNE prévoit que les entités qui y sont soumises et qui envisagent d'installer un système de vidéosurveillance doivent au préalable consulter le PPDT, tant pour l’élaboration du règlement que pour la mise en place effective.