ch_vb · JAAC 64.70 · 1999-06-10 · de


JAAC 64.70
Jugement de la Commission fédérale de la protection
des données du 10 juin 1999
Art. 4 al. 2, art. 19, art. 25 al. 1 let. c, art. 33 al. 1 let. b LPD.
Communication de données personnelles d’une collaboratrice lors d’un
séminaire de formation continue.
- Le refus d’un organe fédéral de constater l’illicéité d’un traitement
de données est sujet à recours auprès de la Commission fédérale de la
protection des données.
- La communication, lors d’un séminaire de formation continue, de
données personnelles d’une collaboratrice sous une forme anonymisée
qui n’exclut toutefois pas une identification par des tiers est illicite vu
qu’aucun motif légal ne le justifie selon l’art. 19 LPD.
Art. 4 Abs. 2, Art. 19, Art. 25 Abs. 1 Bst. c, Art. 33 Abs. 1 Bst. b DSG.
Bekanntgabe von Personendaten einer Mitarbeiterin anlässlich eines
Weiterbildungsseminares.
- Gegen die Weigerung eines Bundesorganes, die Widerrechtlichkeit
einer Datenbearbeitung festzustellen, kann bei der Eidgenössischen
Datenschutzkommission (EDSK) Beschwerde geführt werden.
- Die Bekanntgabe von Personendaten einer Mitarbeiterin in
anonymisierter, jedoch die Identifikation der Person durch Dritte nicht
ausschliessender Form im Rahmen eines Weiterbildungsseminares
ist widerrechtlich, da kein Rechtfertigungsgrund gemäss Art. 19 DSG
gegeben ist.
1

Art. 4 cpv. 2, art. 19, art. 25 cpv. 1 lett. c, art. 33 cpv. 1 lett. b LPD.
Comunicazione di dati personali di una collaboratrice durante un
seminario di formazione continua.
- Contro il rifiuto di un organo federale di accertare l’illiceità di
un trattamento di dati può essere interposto ricorso presso la
Commissione federale della protezione dei dati.
- La comunicazione, durante un seminario di formazione continua, di
dati personali di una collaboratrice in una forma anonima che non
esclude tuttavia l’identificazione da parte di terzi è illecita, poiché non è
giustificata da alcun motivo legale ai sensi dell’art. 19 LPD.
La recourante est collaboratrice à L’Office fédéral des réfugiés (ODR).
Cet office a organisé un séminaire de cadres, auquel participaient notamment
deux des supérieures hiérarchiques de la recourante et qui avait pour objet le
«Manage­ment by Objectives» (MBO).
La recourante invoque qu’elle a été informée par un autre participant du
séminaire que l’une de ses cheffes avait présenté son cas durant le séminaire.
[...]
La Commission fédérale de la protection des données (CFPD) constate qu’il
existe une divergence entre les différents protagonistes sur le point de savoir si
le nom de la recourante a été prononcé lors du séminaire, à tout le moins lors
d’un travail de groupe ou d’un repas, voire d’une discussion entre participants.
A la suite des audiences et des auditions de témoins, la CFPD tient pour
constant que le séminaire en question, comme d’autres séminaires qui
appliquent la même méthodologie, implique nécessairement que le travail de
groupe se fasse par référence à des cas personnels de collaborateurs. Il est par
conséquent conçu et prévu comme non extraordinaire le fait que l’on utilise
les cas personnels de collaborateurs au titre de base de travail.
Pour l’organe fédéral (ODR), il semble normal que les collaborateurs dont la
situation est évoquée soient reconnaissables ou puissent être reconnus.
La CFPD tient également pour constant que le nom de la recourante n’a pas
été prononcé en plénum, ni spontanément dans un groupe de deux, mais
déduit réactivement. En outre, elle admet que, après que M. X. ait compris que
sa collègue exposait le cas de la recourante, les deux personnes ont discuté
ensemble librement du cas. La Commission relève que plusieurs groupes
travaillaient l’un à côté de l’autre, dans un même endroit.
Le séminaire et la méthode de travail n’ont pas fait l’objet de prescriptions
administratives écrites, et il n’a pas été posé de limite ou de mise en garde pour
assurer la protection de la personnalité et des données. Seule une injonction
verbale portant sur l’obligation de traiter les cas de manière anonyme a été
communiquée aux participants.
En outre, il faut souligner que l’ODR reconnaît avoir cité le cas de la recourante
de manière anonyme, mais n’exclut pas que cette dernière aurait pu être
identifiée ou du moins identifiable.
2

La recourante conclut à ce que la Commission:
- déclare le recours recevable pour cause de déni de justice, constatation
inexacte des faits pertinents et vice de procédure;
- constate l’illicéité de traitement de données la concernant, en application de
l’art. 25 de la LF du 19 juin 1992 sur la protection des données (LPD, RS 235.1);
- procède elle-même à une confrontation entre les différentes parties.
I. Sur la recevabilité du recours et la compétence de la
commission
1. Par courrier du 2 septembre 1997, adressé à l’ODR, la recourante a requis
de cet Office qu’il rende une décision en constatation du caractère illicite de la
communication d’informations la concernant, en application de l’art. 25 al. 1
let. c LPD.
Par courrier motivé, daté du 10 novembre 1997, elle a recouru auprès de la
CFPD à l’encontre du refus de l’ODR de rendre une décision relative à l’art. 25
LPD.
2. L’art. 33 al. 1 let. b LPD dispose que «la Commission fédérale de la protection
des données [...] statue sur les recours contre les décisions des organes
fédéraux en matière de protection des données à l’exception de celles du
Conseil fédéral.»
L’ODR est un organe fédéral, au sens de l’art. 3 let. h LPD.
L’art. 33 al. 1 let. b LPD est par conséquent applicable au présent recours et la
Commission fédérale de la protection des données est valablement saisie.
3. (Délai)
II. Sur le fond
4.a. On rappellera que, de manière générale, en vertu de l’art. 16 al.1 LPD,
il incombe à l’organe fédéral responsable de pourvoir à la protection des
données personnelles qu’il traite ou fait traiter dans l’accomplissement de ses
tâches.
b. En particulier, l’art. 19 LPD ne permet aux organes fédéraux la
communication de données personnelles que s’il existe une base juridique au
sens de l’art. 17 ou si:
1. le destinataire a, en l’espèce, absolument besoin de ces données pour
accomplir sa tâche légale;
2. la personne concernée y a, en l’espèce, consenti ou les circonstances
permettent de présumer un tel consentement;
3. la personne concernée a rendu ses données accessibles à tout un chacun ou
si
3

4. le destinataire rend vraisemblable que la personne concernée ne refuse
son accord ou ne s’oppose à la communication que dans le but de l’empêcher
de se prévaloir de prétentions juridiques ou de faire valoir d’autres intérêts
légitimes; dans la mesure du possible, la personne concernée sera auparavant
invitée à se prononcer.
c. De plus, l’art. 4 al. 2 LPD dispose que le traitement de données personnelles
doit être effectué conformément aux principes de la bonne foi et de la
proportionnalité. Selon l’al. 3 de la même disposition, les données personnelles
ne doivent être traitées que dans le but qui est indiqué lors de leur collecte,
qui est prévu par une loi ou qui ressort des circonstances. Par données
personnelles, il faut entendre toutes les informations qui se rapportent à
une personne identifiée ou identifiable (art. 3 let. a LPD).
5.a. Il est incontestable, en l’espèce, qu’il y a eu traitement, par l’organe
fédéral, de données primaires, soit utilisation d’un cas concret, appelant la
prise en considération de données personnelles. En l’espèce, l’organe fédéral
n’a pas démontré qu’il existait une base légale (art. 17 al. 1 LPD), aux fins qu’il
puisse traiter ces données personnelles. Il n’a pas non plus invoqué le fait que
l’utilisation de ces données puisse être nécessaire aux fins d’accomplir une
tâche clairement définie dans une loi au sens formel (art. 17 al. 2 let. a LPD).
Certes, l’ODR mène des séminaires, tels que celui en question, dans le cadre de
ses tâches fédérales, soit pour assurer le bon fonctionnement de l’organe, mais
aucunement pour remplir une tâche légale.
De même, l’ODR n’avait pas absolument besoin de ces données pour accomplir
sa tâche légale (art. 19 al. 1 let. a LPD). En outre, la recourante n’a pas
consenti à la communication de données personnelles la concernant et les
circonstances ne permettaient pas de présumer un tel consentement (art. 19
al. 1 let. b LPD).
b. Considérant que la recourante était à tout le moins identifiable par les
participants au séminaire, il y a lieu de retenir que les données qui ont été
communiquées constituent bien des données personnelles au sens de l’art. 3
let. a LPD. Dès lors, la commission retient qu’il y a eu violation de l’art. 19
LPD, à tout le moins par dol éventuel. En effet, l’organe fédéral n’avait pas la
volonté de violer la loi, mais il s’en est accommodé pour le cas où la personne
pourrait être identifiée. Il lui appartenait par conséquent de prendre toutes les
mesures utiles pour diminuer le risque d’identification.
c. En l’espèce, la Commission relève que si l’on mélangeait différents
départements pour procéder à ce type de séminaire, le risque d’identification
serait moindre. En outre, il appartient à l’organe fédéral de mieux définir les
limites entre le traitement d’un cas individuel et le traitement d’un cas de
manière générale.
d. Finalement, les principes de proportionnalité et de finalité n’ont pas été
respectés: le cas de la recourante aurait dû être rendu complètement anonyme
et n’aurait en aucune manière dû permettre son identification (art. 4 al. 2 et 3
LPD). A cet égard, la CFPD relève que, dans son mémoire du 20 janvier 1998,
l’ODR affirme que l’on ne peut exclure qu’à l’occasion des travaux en petits
groupes,
4

d’aucuns, connaissant l’ODR, aient pu tirer certaines conclusions quant à
l’identité de la recourante. Là aussi, il appartient à l’organe fédéral d’assurer
l’anonymat des cas traités lors de séminaires du type de celui en question.
e. Les conclusions 1 et 3 de la recourante n’ont pas à être examinées, en tant
qu’elles ne se rapportent pas directement à l’application des dispositions de
la LPD. En outre, s’agissant du déni de justice par l’organe fédéral, qui n’a pas
cons­taté le traitement illicite, dans la mesure où la Commission statue sur le
fond du litige, ce grief est devenu sans objet.
f. Dès lors, la Commission constate l’illicéité du traitement par l’ODR, au
cours du séminaire en question, des données concernant la recourante, en
application de l’art. 25 al. 1 let. c LPD.
6. (Frais de la procédure)
5

Schweizerisches Bundesarchiv, Digitale Amtsdruckschriften
Archives fédérales suisses, Publications officielles numérisées
Archivio federale svizzero, Pubblicazioni ufficiali digitali
JAAC 64.70 - Jugement de la Commission fédérale de la protection des données du 10 juin
1999
In
Verwaltungspraxis der Bundesbehörden
Dans
Jurisprudence des autorités administratives de la Confédération
In
Giurisprudenza delle autorità amministrative della Confederazione
Jahr
2000
Année
Anno
Band
64
Volume
Volume
Seite
---
Page
Pagina
Ref. No
150 004 835
Das Dokument wurde durch das Schweizerische Bundesarchiv und die Bundeskanzlei konvertiert.
Le document a été digitalisé par les Archives Fédérales Suisses et la Chancellerie fédérale.
Il documento è stato convertito dall'Archivio federale svizzero e della Cancelleria federale.