Procédures à suivre par les entités

1

La procédure commence par une demande :

• d'accès "à ses données personnelles" (art. 31 et 32 CPDT-JUNE);
• d'abstention / suppression / constatation d'un traitement illicite (art. 34 CPDT-JUNE);
• de rectification, de complément ou de destruction des données personnelles (art. 35 CPDT-JUNE).

2

Le responsable de traitement se doit de vérifier l'identité du demandeur (voir explications).

3

Le responsable de traitement se doit de vérifier le bien-fondé de la demande (art. 33 à 35 CPDT-JUNE).

Les entités doivent mener la procédure avec diligence et rapidité (art. 39 CPDT-JUNE).

S'il ressort de l'examen que des données personnelles n'étant pas relatives au demandeur sont également concernées, la procédure relative à une demande de données personnelles d'une personne par un administré doit être suivie.

4

Le responsable de traitement sollicité envoie une prise de position à la partie demanderesse indiquant brièvement les motifs de refus d'accéder à la demande et indique la possibilité de saisir le PPDT pour conciliation.

1

La procédure commence :

1. soit par une demande de données personnelles d'une personne à un responsable de traitement soumis à lavCPDT-JUNE;

2. soit par une demande de liste de données personnelles, au sens de l'art. 29 CPDT-JUNE.

Les entités doivent mener la procédure avec diligence et rapidité (art. 39 CPDT-JUNE).

2

Offrir RAPIDEMENT le droit de s'opposer à la personne concernée / entités concernées (art. 30 CPDT-JUNE), dont les données devraient être communiquées, mais seulement si la communication peut porter atteinte à un intérêt prépondérant public ou privé (art. 26 al. 1 let. a CPDT-JUNE).

Cette exigence s'applique restrictivement lorsqu'il est demandé le nom, le prénom, l'adresse, la date de naissance, l'état civil, la profession, le sexe, la nationalité, la provenance ou/et la destination d'une personne, pour autant que cela soit dans l’intérêt de la personne concernée, ou que le destinataire justifie clairement d’un intérêt digne de protection et qu'aucun intérêt de la personne concernée ne paraîsse a priori lesé.

3

La personne concernée / entité concernée a-t-elle répondu ?

4

Quelle est la réponse de la personne concernée  / entité concernée?

5a

La communication doit-elle être refusée à cause d'une base légale l'interdisant (art. 26 al. 1 let. b CPDT-JUNE) ?

5b

La communication doit-elle être refusée :

• à cause d'une base légale l'interdisant (art. 26 al. 1 let. b CPDT-JUNE) ?

• parce que les conditions de l'art. 25 CPDT-JUNE ne sont pas remplies ?

• à cause de l'absence d'un intérêt digne de protection, au sens de l'art. 25 al. 2 CPDT-JUNE ?

5c

La communication doit-elle être refusée :

• à cause d'une base légale l'interdisant (art. 26 al. 1 let. b CPDT-JUNE) ?

• parce que les conditions de l'art. 25 CPDT-JUNE ne sont pas remplies ?

• à cause de l'absence d'un intérêt digne de protection, au sens de l'art. 25 al. 2 CPDT-JUNE ?

6a

Le responsable de traitement sollicité envoie une prise de position à la partie demanderesse indiquant brièvement les motifs de refus et indique la possibilité de saisir le PPDT pour conciliation.

6b

Après avoir apprécié la pertinence des arguments de l'opposant, le responsable de traitement a le choix d'adresser un courrier à ce dernier en levant son opposition ou à la partie demanderesse en refusant sa requête.

7

Le responsable de traitement sollicité, l'entité ou la personne concernée, ainsi que la partie demanderesse peuvent demander gratuitement au PPDT la tenue d'une séance de conciliation (art. 40 CPDT-JUNE).

Les données personnelles ne seront pas communiquées, tant que le sort de la conciliation ne sera pas connu.

Si la conciliation aboutit, l'arrangement figurant dans le procès-verbal devra être mis en œuvre.

8

Si la conciliation échoue, ou si la convention issue de celle-ci n'est pas exécutée, le responsable de traitement sollicité, l'entité ou la personne concernée, ainsi que la partie demanderesse et le PPDT peuvent transmettre gratuitement la cause pour décision à la CPDT (Commission de protection des données et de la transparence) (art. 42 CPDT-JUNE).

Aucun délai n'est imposé.

Les données personnelles ne seront pas communiquées avant l'échéance du délai de recours ou de l'obtention d'une décision définitive et exécutoire.

9

La partie n'ayant pas obtenu gain de cause devant la CPDT, ainsi que le PPDT, peuvent déposer un recours payant dans les 30 jours contre la décision au Tribunal cantonal du canton auquel appartient l'entité détentrice du document demandé.

1

La procédure commence par une demande de document à une entité soumise à la CPDT-JUNE.

2

L'entité sollicitée, si elle détient le document demandé, ou les données personnelles de tiers, doit examiner si les conditions d'accessibilité sont remplies.

Un outil est à disposition pour ce faire (Document officiel accessible ou non?).

Une liste des restrictions est également à disposition.

3

Des données personnelles figurent-elles dans le document ?

4

Des restrictions au sens des art. 69 à 72 CPDT-JUNE ont-elles été identifiées au point 2 ?

5

L'entité sollicitée envoie une prise de position à la partie demanderesse en indiquant brièvement les motifs de refus et indique la possibilité de saisir le PPDT pour conciliation.

1

Lorsque le document demandé est susceptible de porter atteinte à un intérêt prépondérant public ou privé au sens de l'art. 72 CPDT-JUNE, les entités sont encouragées à offrir le droit d'être entendu (art. 77 et 30 CPDT-JUNE) aux personnes concernées.

Les entités doivent mener la procédure avec diligence et rapidité (art. 76 CPDT-JUNE).

2

L'anonymisation / le caviardage des passages portant atteinte est-il possible ?

3

Toutes les parties reconnaissables doivent être identifiées.

4

Offrir RAPIDEMENT le droit de s'opposer aux personnes identifiables dans le document.

5

La personne identifiable a-t-elle répondu ?

6

Quelle est la réponse de la personne concernée ?

7a

Des restrictions au sens des art. 69 à 72 CPDT-JUNE sont-elles applicables (voir liste) ?

7b

Des restrictions au sens des art. 69 à 72 CPDT-JUNE sont-elles applicables (voir liste) ?

8a

L'entité sollicitée envoie une prise de position à la partie demanderesse en indiquant brièvement les motifs de refus et indique la possibilité de saisir le PPDT pour conciliation.

8b

L'entité sollicitée envoie une prise de position indiquant brièvement les motifs de refus et indique la possibilité de saisir le PPDT pour conciliation.

Après avoir apprécié la pertinence des arguments de l'opposant, l'entité a le choix d'adresser un courrier à ce dernier en levant son opposition ou de se limiter à l'envoi du refus ci-dessus.

8c

Après avoir apprécié la pertinence des arguments de l'opposant, l'entité a le choix d'adresser un courrier à ce dernier, en levant son opposition, ou à la partie demanderesse, en refusant la demande.

9

L'entité émettrice de la prise de position, la partie demanderesse, le destinataire d'une levée d'opposition, et d'éventuelles entités ou personnes concernées peuvent demander gratuitement au PPDT la tenue d'une séance de conciliation (art. 40 CPDT-JUNE).

Le document ne sera pas communiqué, tant que le sort de la conciliation ne sera pas connu.

Si la conciliation aboutit, l'arrangement figurant dans le procès-verbal devra être mis en œuvre.

10

Si la conciliation échoue, ou si la convention issue de celle-ci n'est pas exécutée, l'entité détenant le document en cause, la partie demanderesse, le destinataire d'une levée d'opposition, et d'éventuelles entités ou personnes concernées, ainsi que le PPDT peuvent transmettre gratuitement la cause pour décision à la CPDT (Commission de protection des données et de la transparence) (art. 42 CPDT-JUNE).

Aucun délai n'est imposé.

Le document ne sera pas communiqué avant l'échéance du délai de recours ou de l'obtention d'une décision définitive et exécutoire.

11

La partie n'ayant pas obtenu gain de cause devant la CPDT, ainsi que le PPDT, peuvent déposer un recours payant dans les 30 jours contre la décision au Tribunal cantonal du canton auquel appartient l'entité détentrice du document demandé.

Le document doit être envoyé à la partie demanderesse

Le document anonymisé/caviardé doit être envoyé à la partie demanderesse

La procédure offrant le droit d'être entendu doit être suivie

Les données personnelles peuvent être communiquées

Envoi d'une prise de position comprenant soit :

• la liste des données personnelles du demandeur;

• la confirmation de l'abstention, la suppression ou la constatation du traitement illicite;

• la confirmation de la rectification ou de la destruction des données personnelles.

L'autorité exécutive de l'entité sollicitée doit envoyer une décision devant spécifier que :

• la liste ne pourra être utilisée qu'une seule fois pour contacter les personnes concernées;

• la liste ne pourra pas être transmise à des tiers et devra être détruite après usage; (cette condition exclut l'enregistrement dans la plupart des clouds et le traitement des données à travers des services online ne garantissant pas l'accès exclusif par l'utilisateur (le fournisseur du service ne doit pas pouvoir accéder aux données) et le stockage en CH ou dans l'UE);

• avant d'utiliser la liste, les demandeurs doivent vérifier qu'elle corresponde à la demande.

• l'entité sollicitée décline toute responsabilité en cas d'utilisation d'une liste erronée non préalablement vérifiée;

• les entités sollicitées peuvent exiger un émolument pour l'établissement de la liste, si leurs règlements le permettent.