Faut-il toujours le consentement de la personne pour traiter ses données en Suisse ?

La loi sur la protection des données (LPD) prévoit qu’une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement de la personne concernée, par un intérêt privé ou public prépondérant, ou par la loi. Le consentement n’est donc pas le seul fondement mentionné. La règle applicable consiste à vérifier si le traitement porte atteinte à la personnalité et, dans l’affirmative, si cette atteinte est justifiée par l’un de ces motifs. La loi place ainsi sur le même plan le consentement, l’intérêt privé ou public prépondérant et la loi comme motifs justificatifs possibles.^[1]

• Un intérêt prépondérant du responsable du traitement entre notamment en considération lorsque le traitement est en relation directe avec la conclusion ou l’exécution d’un contrat et que les données traitées concernent le cocontractant.
• Il entre notamment en considération lorsque le traitement s’inscrit dans un rapport de concurrence économique actuel ou futur avec une autre personne, à condition qu’aucune donnée personnelle traitée ne soit communiquée à des tiers; les entreprises appartenant au même groupe que le responsable du traitement ne sont pas considérées comme des tiers au sens de cette disposition.
• Il entre notamment en considération lorsque des données personnelles sont traitées pour évaluer la solvabilité de la personne concernée, pour autant qu’il ne s’agisse pas de données sensibles ni d’un profilage à risque élevé, que les données ne soient communiquées à des tiers que s’ils en ont besoin pour conclure ou exécuter un contrat avec la personne concernée, qu’elles ne datent pas de plus de dix ans et que la personne concernée soit majeure.
• Il entre notamment en considération lorsque des données personnelles sont traitées de manière professionnelle exclusivement en vue d’une publication dans la partie rédactionnelle d’un média à caractère périodique ou, si la publication n’a pas lieu, servent exclusivement d’instrument de travail personnel.
• Il entre notamment en considération lorsque des données personnelles sont traitées à des fins ne se rapportant pas à des personnes, notamment dans le cadre de la recherche, de la planification ou de la statistique, si le responsable du traitement anonymise les données dès que la finalité du traitement le permet ou, si une anonymisation est impossible ou exige des efforts disproportionnés, prend des mesures appropriées afin que les personnes concernées ne puissent pas être identifiées; pour les données sensibles, leur communication à des tiers doit se faire sous une forme ne permettant pas d’identifier la personne concernée ou, si cela n’est pas possible, avec des mesures garantissant que les tiers ne traitent les données qu’à des fins ne se rapportant pas à des personnes; les résultats doivent être publiés sous une forme ne permettant pas d’identifier les personnes concernées.
• Il entre notamment en considération lorsque les données personnelles recueillies concernent une personnalité publique et se réfèrent à son activité publique.

^[1]

En pratique, il faut donc vérifier quel motif justificatif s’applique au traitement envisagé et si toutes les conditions posées par la LPD sont réunies pour le cas concerné. Lorsque le traitement est invoqué au titre d’un intérêt prépondérant, la loi attache une importance particulière au contexte du traitement, à la nature des données, à la communication éventuelle à des tiers, à l’ancienneté des données dans l’évaluation de la solvabilité, à la majorité de la personne concernée, à l’anonymisation, ainsi qu’à la forme de publication des résultats lorsqu’ils ne doivent pas permettre d’identifier des personnes concernées.^[1]

Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Vous devez vérifier la disposition actuellement en vigueur et toute modification ultérieure avant d’agir.^[1]