ch_vb · JAAC 57.18 · 1992-07-23 · de


JAAC 57.18
Office fédéral de la justice, 23 juillet 1992
Protection des données. Gestion d’adresses privées de donateurs
potentiels ou réels sélectionnées en vue d’une publicité directe pour le
compte d’organisations caritatives ou philanthropiques.
- Conditions auxquelles ce traitement de profils de personnalité sur
mandat et leur communication éventuelle à des tiers est licite (art. 3
let. d, art. 4, 12 al. 2 let. c et art. 14 LPD).
- Obligation de garantir le droit d’accès des personnes concernées,
d’annoncer le fichier et d’assurer la sécurité des données (art. 7, 8 et 11
al. 3 LPD).
Datenschutz. Verwaltung der Privatadressen von potentiellen oder
reellen Spendern, welche zwecks Direktwerbung im Auftrag von
karitativen oder philanthropischen Organisationen ausgewählt
werden.
- Voraussetzungen, unter welchen die Bearbeitung solcher
Persönlichkeitsprofile übertragen werden darf und deren Bekanntgabe
an Dritte zulässig ist (Art. 3 Bst. d, Art. 4, 12 Abs. 2 Bst. c und Art. 14
DSG).
- Pflicht, das Auskunftsrecht der betroffenen Personen zu garantieren,
die Datensammlung anzumelden und die Datensicherheit zu
gewährleisten (Art. 7, 8 und 11 Abs. 3 DSG).
Protezione dei dati. Gestione di indirizzi privati di donatori
potenziali o reali selezionati per una pubblicità diretta su incarico di
organizzazioni caritative o filantropiche.
1

- Condizioni alle quali è lecito questo trattamento di profili di
personalità su incarico ed eventuale comunicazione a terzi (art. 3
lett. d, art. 4, 12 cpv. 2 lett. c e art. 14 LPD).
- Obbligo di garantire il diritto d’accesso alle persone interessate, di
notificare la collezione e di garantire la sicurezza dei dati (art. 7, 8 e 11
cpv. 3 LPD).
Une société a demandé à l’Office fédéral de la justice (OFJ) d’examiner si ses
activités pouvaient se poursuivre en l’état avec l’entrée en vigueur de la LF du
19 juin 1992 sur la protection des données (LPD, RS 235.1, RO 1993 1945). La
société en question gère des adresses privées tirées de l’annuaire téléphonique
et transmises par les PTT. Ces adresses sont traitées à des fins de publicité
adressée pour le compte d’organisations caritatives et philanthropiques et
leur permettent ainsi d’obtenir du public des donations pour leurs actions.
Les envois ne sont en général pas adressés à toutes les personnes enregistrées
dans le fichier. La société s’efforce de sélectionner le public (public cible)
en fonction des différents buts et actions des organisations qui font appel à
ses services. Pour ce faire, elle dresse tout d’abord à l’aide des adresses un
premier profil de personnalité, puis sur la base des réponses et des versements
effectués, elle affine le profil afin de garantir un plus grand taux d’acceptante,
de diminuer les pertes financières et d’éviter d’envoyer des publicités aux
personnes qui ne le désirent pas. Le fichier d’adresses ne contient pas les
personnes qui sont inscrites sur les listes ROBINSON des PTT et de l’Association
suisse pour la publicité directe.
En outre, le traitement doit être conforme au principe de la bonne foi. Ce
principe postule notamment une certaine transparence lors de la collecte et
du traitement de données personnelles. Cela implique en particulier que la
personne concernée doit être en mesure de savoir qui détient des données à
son sujet et ce qu’il advient des données la concernant: «L’un des principaux
problèmes inhérents au traitement de données personnelles aux fins de
marketing direct résulte dans le fait que des personnes concernées, à savoir
les intéressés potentiels, ne sont le plus souvent pas en mesure de savoir qui
détient des informations à leur sujet, d’où provient le message publicitaire,
comment une firme est entrée en possession d’une adresse alors qu’aucun
lien contractuel n’existe entre l’intéressé et le publicitaire à qui les données
ont été transmises. En un mot, le manque de transparence dans le processus
du traitement d’informations, de la collecte à l’adressage. Ainsi, ce manque
de transparence … constitue déjà en soi une atteinte illicite au droit de la
personnalité, au droit de l’individu de déterminer ce qu’il advient des données
le concernant»[1]. Ainsi, le fait qu’une personne ne se soit pas opposée à ce
que son adresse soit communiquée à des tiers par les PTT, notamment à des
fins de publicité directe, ne dispense pas ces tiers du respect du principe de
la bonne foi en particulier en garantissant la transparence du traitement. En
l’espèce, cette transparence n’est pas suffisamment garantie, puisqu’à aucun
moment les destinataires d’un message publicitaire et en particulier ceux qui
répondent à ce message en versant un certain montant à une organisation
2

philanthropique ne sont informés du fait que la société agit pour le compte de
l’organisation X ou Y, détient le fichier d’adresses, le met à jour et l’affine ou
encaisse les versements pour ces organisations.
3. A côté de ces principes généraux du traitement de données à caractère
personnel, les art. 12 ss LPD règlent plus spécialement le traitement de
données par des personnes privées.
Ainsi, aux termes de l’art. 12
«1Quiconque traite des données personnelles ne doit pas porter une atteinte
illicite à la personnalité des personnes concernées.
2Personne n’est en droit, sans motif justificatif, notamment de:
a. traiter des données personnelles en violation des principes définis aux art. 4, 5,
al. 1er, 6, al. 1er, et 7, al. 1er;
b. traiter des données contre la volonté expresse de la personne concernée;
c. communiquer à des tiers des données sensibles ou des profils de la
personnalité.»
«Les personnes privées qui traitent régulièrement des données sensibles ou des
profils de personnalité ou communiquent des données personnelles à des tiers
sont tenues de déclarer leurs fichiers si:
a. le traitement de ces données n’est soumis à aucune obligation légale et que
b. les personnes concernées n’en ont pas connaissance.»
- empêcher toute personne non autorisée à accéder aux installations utilisées
pour le traitement de données personnelles;
- empêcher que des supports de données ne puissent être lus, copiés, modifiés
ou éloignés par une personne non autorisée;
- empêcher que, lors de la communication des données, ainsi que lors du
transport de supports de données, les données ne puissent être lues, copiées,
modifiées ou effacées de façon non autorisée;
- empêcher l’introduction non autorisée de données dans le fichier, ainsi que
toute prise de connaissance, modification ou effacement non autorisé des
données enregistrées;
- empêcher que les personnes non autorisées ne puissent utiliser des fichiers
de traitement automatisé des données, notamment à l’aide de communication
de données;
- garantir que pour l’utilisation d’un fichier automatisé, seules les personnes
autorisées aient accès aux données, et uniquement à celles dont elles ont
besoin pour accomplir leurs tâches;
- assurer la sauvegarde des données et des fichiers, notamment en constituant
des copies de sécurité et en les stockant en des lieux physiquement distincts de
l’équipement qui les traite;
- garantir la vérification et la constatation a posteriori des traitements de
données personnelles opérés, des personnes qui ont effectué le traitement et
du moment auquel elles l’ont effectué (journalistique des traitements);
3

- lors de la communication de données, garantir la vérification et la
constatation des destinataires de données.
Conclusion
1. de limiter le nombre de données utilisées pour établir le profil de
personnalité aux seules données absolument nécessaires aux besoins
d’adressage des messages publicitaires ciblés;
2. de renoncer à établir un profil social et financier des personnes concernées;
3. de limiter les combinaisons entre les différentes rubriques aux seuls
domaines apparentés (par ex. nature, environnement et protection des
animaux);
4. de faire preuve d’une grande réserve lors d’une éventuelle communication
de profils de personnalité à des tiers, en particulier de ne pas communiquer
ces données pour des finalités différentes de celles pour lesquelles ils ont
été établis et de rechercher le consentement préalable exprès et éclairé des
personnes concernées;
5. d’assurer une plus grande transparence dans le traitement des données. Il
serait en particulier opportun que le destinataire d’un message publicitaire
et d’une demande de don sache d’où provient ce message. Ainsi, au côté de
l’organisation caritative ou philanthropique pour le compte de laquelle la
société agit, devrait clairement ressortir que celle-ci est l’intermédiaire qui
envoie le message, encaisse les dons et par conséquent traite les données
personnelles pour le compte du tiers-mandant;
6. de garantir l’exercice du droit d’accès par les personnes concernées et de
leur permettre de faire usage de leur droit à être radié du fichier d’adresses;
7. de porter une attention particulière à la sécurité notamment en tenant
compte du point 9 ci-dessus.
L’OFJ a fourni à ce sujet l’avis suivant:
1. La collecte d’adresses et leur traitement à des fins de publicité directe
constituent un traitement de données personnelles, c’est-à-dire d’informations
se rapportant à une personne identifiée au sens de la LPD. En établissant
des profils sur la base des adresses, en affinant ces profils à l’aide des
réponses fournies par le public ciblé et des montants versés aux différentes
organisations, la société en question élabore des profils de personnalité au
sens de l’art. 3 let. d. LPD, profils qui sont assimilés au traitement de données
sensibles et qui nécessitent une protection plus sévère.
2. La LPD définit les principes régissant le traitement de données personnelles
par des personnes privées ou des organes fédéraux. En particulier, selon les
art. 4 ss, la collecte de données doit intervenir de manière licite, le traitement
doit être conforme au principe de la bonne foi et de la proportionnalité et
les données ne doivent être traitées que dans le but indiqué lors de leur
collecte ou ressortant des circonstances. Si les données sont communiquées à
l’étranger, la personnalité des personnes concernées ne doit pas s’en trouver
gravement menacée. Enfin, les données doivent être exactes et des mesures de
sécurité des données doivent être assurées.
4

En l’espèce, il importe en particulier que les données qui sont déduites de
l’adresse et par la suite des attitudes des personnes sujettes à la publicité
directe soient nécessaires et propres à atteindre le but visé: à savoir n’adresser
des demandes de don qu’aux personnes intéressées. Ainsi, les profils établis
ne devraient pas aller au-delà de ce qui est absolument nécessaire pour
atteindre le but visé. En l’occurrence, le choix d’établir les profils sur la base
des informations déduites de l’adresse et des informations complémentaires
fournies par les personnes concernées dans la suite qu’elles donnent aux
messages publicitaires paraissent demeurer dans un cadre adéquat, à
condition que:
- les combinaisons entre les différents critères retenus pour l’établissement des
profils soient limitées;
- la société renonce à établir le profil social et financier des personnes
concernées, notamment à partir des données de domicile, et que
- les profils soient uniquement et strictement utilisés aux fins d’adressage des
messages publicitaires et des demandes de versement de dons.
Au sens de l’art. 13, constitue un motif justificatif: le consentement de la
personne concernée, l’intérêt prépondérant privé ou public ou la loi.
En l’espèce, dans la mesure où l’utilisation des nom, prénom, adresse et
éventuellement profession ne s’effectue pas contre la volonté expresse des
personnes concernées, leur personnalité n’est en principe pas atteinte. Par
contre, l’établissement de profils de personnalité et leur utilisation peut
entraîner une atteinte à la personnalité des personnes concernées, notamment
lorsqu’ils sont établis à l’insu des personnes concernées ou lorsque l’étendue
du profil et son utilisation vont au-delà de ce qui est nécessaire aux tâches
d’adressage de messages publicitaires et de demandes de dons.
4. L’utilisation de ces données pour l’adressage des messages publicitaires
ou des demandes de dons découle d’un contrat de mandat entre l’institution
caritative ou philanthropique qui désire effectuer une campagne publicitaire
et l’entreprise en question. Celle-ci se charge de la campagne publicitaire
et de l’encaissement des dons. Le traitement de données personnelles sur
mandat fait l’objet d’une disposition particulière (art. 14 LPD). Aux termes de
cette disposition, un traitement de données personnelles peut être confié à
un tiers pour autant que le mandant veille à ce que ne soient pas effectués
des traitements autres que ceux qu’il est lui-même en droit d’effectuer et pour
autant qu’aucune obligation légale ou contractuelle de garder le secret ne
l’interdise. Le tiers mandaté peut faire valoir les mêmes motifs justificatifs que
le mandant.
En l’espèce, les différents mandants seraient légitimés à traiter eux-mêmes
les données nécessaires à l’adressage de leur publicité ou de leur demande
de dons. De plus, du fait qu’ils ne transmettent à la société aucune donnée
personnelle, aucune obligation de secret ne s’oppose au traitement sur mandat.
Selon la LPD, le mandant demeurera responsable du traitement effectué par
l’entreprise. Il aura ainsi l’obligation de veiller à ce que celle-ci se conforme
aux exigences de la protection des données et en particulier qu’elle ne porte
5

pas atteinte illicitement à la personnalité des personnes concernées. Il pourra,
à ce titre, demander des informations sur la façon dont la société garantit la
protection des données et assure la sécurité des données.
5. En résumé, le traitement de données personnelles et la manière dont le fichier
est géré pourront se poursuivre sous l’empire de la LPD pour autant que la
société se conforme aux principes généraux du traitement (art. 4 ss LPD) et
qu’en particulier elle assure une meilleure transparence des traitements de
données personnelles.
6. Qu’en est-il de l’obligation d’annoncer ce fichier? La LPD prévoit une
obligation d’annoncer les fichiers de données personnelles au préposé fédéral
à la protection des données. Celui-ci gérera un registre public des fichiers.
Le but de cette obligation est de garantir une meilleure transparence des
traitements de données personnelles et de permettre en particulier aux
personnes concernées de faire valoir leurs droits et notamment d’exercer
leur droit d’accès. Dans le secteur privé, l’obligation d’annoncer un fichier est
limitée. En effet, aux termes de l’art. 11 al. 3 LPD,
En l’espèce, l’entreprise en question traite régulièrement des profils de
personnalité sans aucune obligation légale et à l’insu des personnes
concernées. Il en résulte que le fichier devra être annoncé au préposé fédéral
à la protection des données. Une telle obligation existerait également si
l’entreprise en question communiquait régulièrement des données à des
tiers, ce qui ne semble pas être le cas actuellement.
7. Y a-t-il obligation de donner des renseignements aux personnes concernées
enregistrées dans cette banque de données (droit d’accès)? Le droit d’accès
constitue un des éléments fondamentaux de toute législation sur la protection
des données. Il permet à tout un chacun de savoir si des données le
concernant sont traitées et enregistrées dans un fichier déterminé, le cas
échéant de pouvoir en avoir connaissance et de faire valoir son droit à la
rectification ou à la destruction lorsque des données inexactes sont détenues
ou lorsque des données sont traitées de manière illicite. Ce droit est consacré
par l’art. 8 LPD. Ainsi, avec l’entrée en vigueur de la loi, la société sera tenue de
donner accès aux personnes qui en feront la demande. Elle ne pourra refuser,
restreindre ou différer l’octroi des renseignements demandés que si un intérêt
prépondérant d’un tiers l’exige ou si elle peut elle-même justifier d’un intérêt
prépondérant et à condition qu’elle ne communique pas des données à des
tiers (art. 9 LPD).
8. La communication de données personnelles et en particulier d’adresses à des
tiers est-elle licite? Dans la mesure où la société a un motif légitime justifiant la
communication de données à des tiers et que cette communication respecte les
principes des art. 4 ss, la LPD ne fera pas obstacle à une telle communication.
Cependant, il y aura lieu de faire preuve d’une très grande réserve si cette
communication devait porter sur des profils de personnalité. Ceux-ci ne
devraient en principe pas être communiqués ou à tout le moins pas pour
des finalités différentes de celles pour lesquelles ils ont été établis. En outre,
6

dans la mesure du possible, une telle communication exceptionnelle ne devrait
s’opérer qu’avec le consentement préalable exprès et éclairé des personnes
concernées.
9. La LPD impose également aux personnes privées qui traitent des données
personnelles une obligation d’assurer la sécurité des données en prenant
les mesures organisationnelles et techniques propres à protéger les données
personnelles contre tout traitement non autorisé. L’importance et l’étendue
des mesures à prendre dépendra en particulier de la nature du traitement
effectué, de l’ampleur des données traitées, du nombre de personnes
concernées enregistrées dans le fichier, des circonstances dans lesquelles
se déroule le traitement ou encore de la configuration et de la structure du
fichier (matériel utilisé, logiciel, système fermé ou réseau avec différents accès
en ligne). Il s’agit de mesures propres à
Le traitement de données personnelles tel qu’effectué présentement par la
société demeurera possible avec l’entrée en vigueur de la LPD. Toutefois,
afin d’éviter que l’élaboration de profils de personnalité et leur utilisation
ne débouchent sur une atteinte illicite à la personnalité, cette entreprise
devra s’attacher à respecter les principes définis aux art. 4 ss LPD. Ainsi, l’OFJ
recommande:
[1] J.-Ph. Walter, Recommandation du Conseil de l’Europe du 25 octobre 1985
relative à la protection des données à caractère personnel utilisées à des fins
de marketing direct, dans Protection des données, droits de l’homme et valeurs
démocratiques, Actes de la XIIIe Conférence des Commissaires à la protection
des données 2 - 4 octobre 1991, Strasbourg 1992, p. 132.
7

Schweizerisches Bundesarchiv, Digitale Amtsdruckschriften
Archives fédérales suisses, Publications officielles numérisées
Archivio federale svizzero, Pubblicazioni ufficiali digitali
JAAC 57.18 - Office fédéral de la justice, 23 juillet 1992
In
Verwaltungspraxis der Bundesbehörden
Dans
Jurisprudence des autorités administratives de la Confédération
In
Giurisprudenza delle autorità amministrative della Confederazione
Jahr
1993
Année
Anno
Band
57
Volume
Volume
Seite
---
Page
Pagina
Ref. No
150 001 706
Das Dokument wurde durch das Schweizerische Bundesarchiv und die Bundeskanzlei konvertiert.
Le document a été digitalisé par les Archives Fédérales Suisses et la Chancellerie fédérale.
Il documento è stato convertito dall'Archivio federale svizzero e della Cancelleria federale.