Archives par mot-clé : LPD

Assurance-maladie LAMal, Assurances privées LCA, Jurisprudence

9C_650/2021 (f) du 07.11.2022, destiné à la publication – Validité d’une réserve d’assurance rétroactive par l’assureur-maladie – 69 LAMal / Réticence / Organisation des caisses-maladie et régime légal de la protection des données

Laisser un commentaire

Arrêt du Tribunal fédéral 9C_650/2021 (f) du 07.11.2022, destiné à la publication

 

Consultable ici

 

Validité d’une réserve d’assurance rétroactive par l’assureur-maladie – Délai pour instituer une réserve / 69 LAMal

Signature d’une proposition d’assurance et accord au traitement des données personnelles de l’assuré, notamment tous les autres assureurs d’une holding (même groupe d’assureurs)

Réticence – Dies a quo de la connaissance par l’assureur – Pas d’imputation de la connaissance d’une information objectivement accessible au sein de son organisation

Organisation des caisses-maladie et régime légal de la protection des données

 

Assurée, employée comme infirmière à 80% auprès d’une clinique, assurée contre la perte de gain en cas de maladie par Mutuel Assurances (assurance selon la LCA).

Dans un rapport du 15.10.2017, le médecin traitant, spécialiste en médecine générale, a indiqué à la caisse-maladie que sa patiente était atteinte d’hydrocéphalie, ce diagnostic remontant à l’année 2014 environ; elle était limitée de manière intermittente par des céphalées et des vertiges devenant très gênants et présentait des phases d’incapacité entière de travail. Par la suite, il a mentionné que l’hydrocéphalie avait été diagnostiquée en mars 2017.

Entre-temps, l’assurée a commencé une activité accessoire d’infirmière indépendante à 20% depuis le début de l’année 2014. Afin de couvrir cette activité indépendante, elle a conclu une assurance individuelle facultative d’indemnités journalières selon la LAMal auprès d’Avenir Assurance le 13.09.2017, portant sur une indemnité journalière en cas de maladie de 50 fr. par jour, assortie d’un délai d’attente de sept jours pour les risques maladie et accident. Dans le document « Questionnaire de santé », l’assurée n’a pas indiqué de trouble de la santé. Entre autres réponses, elle a nié être alors (« actuellement ») ou avoir été en traitement au cours des cinq dernières années auprès d’un médecin ainsi que présenter des séquelles d’une maladie.

Le 29.08.2019, Avenir Assurance a reçu une déclaration d’incapacité de travail de l’assurée, selon laquelle elle avait travaillé la dernière fois le 15.03.2019 et était en incapacité de travail depuis le 16.03.2019 en raison d’une hydrocéphalie. Après avoir obtenu le 02.12.2019 l’autorisation de l’assurée pour traiter les données nécessaires à la détermination du droit aux prestations, notamment en requérant des informations auprès des autres assureurs sociaux ou privés, Avenir Assurance a obtenu le dossier médical de l’assurée de la part de Mutuel Assurances. Par décision du 09.01.2020, confirmée sur opposition, Avenir Assurance a institué une réserve rétroactive dès le 13.09.2017 pour hydrocéphalie et ses complications, en raison d’une réticence, ce pour une durée de cinq ans; elle a par ailleurs refusé toute indemnité pour l’incapacité de travail annoncée dès le 16.03.2019 et mis un terme au contrat d’assurance avec effet au 31.12.2019.

 

Procédure cantonale

Par jugement du 08.11.2021, admission du recours par le tribunal cantonal, annulant la décision sur opposition, renvoyant le dossier à Avenir Assurance pour « examen des autres conditions du droit aux indemnités journalières requises ».

 

TF

Consid. 4.1
La juridiction cantonale a constaté qu’au moment de son adhésion à Avenir Assurance, l’assurée avait passé sous silence des faits importants pour l’évaluation de son risque par l’assurance et manifestement commis une réticence. L’assurée avait ainsi omis d’indiquer qu’elle souffrait d’une hydrocéphalie (expliquant en grande partie les multiples maux récurrents dont elle souffrait depuis 2014 déjà), alors qu’elle ne pouvait ignorer cette atteinte et les répercussions de celle-ci depuis une IRM effectuée le 15.03.2017. Le fait qu’elle n’avait apparemment pas subi d’incapacité de travail durable avant mars 2019 en raison de cette maladie ne la dispensait pas de renseigner Avenir Assurance sur l’existence de ses problèmes de santé et les investigations prévues.

Quant au délai pour instituer une réserve – d’un an à compter du moment où l’assureur a eu ou aurait dû avoir connaissance de l’attitude répréhensible de l’assuré, mais au plus tard cinq ans depuis ledit comportement (ATF 110 V 308 consid. 2c) – la juridiction cantonale a retenu qu’il était échu au moment du prononcé de la décision du 09.01.2020. Selon elle, il convenait en application de l’arrêt 4A_294/2014 du 30 octobre 2014, de considérer que les rapports médicaux communiqués à Mutuel Assurances étaient réputés connus d’Avenir Assurance dès leur réception par la prénommée (soit le 25.10.2017, date à laquelle le rapport du médecin traitant du 15.10.2017 avait été transmis à Mutuel Assurances). En effet, les deux sociétés d’assurance avaient adopté une organisation et une administration communes et elles étaient donc autorisées à partager les données de leurs assurés communs. Les juges cantonaux ont conclu que la réserve devait être supprimée et Avenir Assurance être invitée à verser des prestations à l’assurée pour l’incapacité de travail survenue dès le 16.03.2019, sous réserve de la réalisation des autres conditions légales.

Consid. 4.2
Invoquant une violation de la LPD, Avenir Assurance reproche à la juridiction cantonale d’avoir retenu que deux assurances d’un même groupe pratiquant « toutes deux l’assurance-maladie sociale » sont autorisées à adopter une organisation unique et, partant, à partager les données de leurs assurés communs. Elle soutient qu’elle avait agi en tant qu’assureur perte de gain maladie selon la LAMal, tandis que Mutuel Assurances était intervenue en tant qu’assureur perte de gain maladie selon la LCA. Dès lors que l’assureur LAMal devait être considéré comme un tiers par rapport à un assureur LCA (même dans l’éventualité où les deux domaines étaient exploités par la même personne morale), les données médicales ne pouvaient pas être transmises au premier assureur sans motifs justificatifs. Or Mutuel Assurances n’avait pas été autorisée à lui transmettre des données avant que l’assurée n’eût donné son accord pour ce faire, le 02.12.2019. Imposer à Avenir Assurance de consulter les données de l’assurée recueillies par Mutuel Assurances avant cette date reviendrait à une violation de la LPD.

 

Consid. 5.1
En tant que la juridiction cantonale a considéré qu’Avenir Assurance et Mutuel Assurances étaient toutes deux des assurances pratiquant l’assurance-maladie sociale selon la LAMal, elle a procédé à une constatation manifestement inexacte des faits, qu’il convient de rectifier. Elle a apparemment confondu Mutuel Assurances SA (aujourd’hui radiée du registre du commerce), dont le but social était « l’exploitation des branches d’assurances non vie », et Mutuel Assurance Maladie SA, dont le but est de « pratiquer en tant que caisse-maladie au sens de l’art. 12 LAMal l’assurance-maladie obligatoire et l’assurance facultative d’indemnités journalières ». Selon les constatations cantonales, l’assurée était assurée auprès de Mutuel Assurances pour la perte de gain. Or cette assurance n’était pas une caisse-maladie au sens de l’art. 12 LAMal, qui aurait pratiqué l’assurance facultative d’indemnités journalières, mais elle était active dans le domaine des assurances (complémentaires) soumises à la LCA, dont l’assurance indemnité journalière, soit dans le domaine des assurances privées.

Consid. 5.2
L’assurée soutient qu’elle avait, par sa signature de la proposition d’assurance du 13.09.2017, donné son accord au traitement de ses données personnelles et délié notamment tous les autres assureurs du Groupe Mutuel Holding SA (dont faisaient partie les deux assureurs en cause) de leur obligation de garder le secret, ce dans le cadre de vérifications nécessaires en cas de soupçons de réticence ou de fraude. Aussi, Mutuel Assurances était-elle autorisée à transmettre des données la concernant à Avenir Assurance, sans atteinte à sa personnalité, conformément à l’art. 12 al. 3 LPD, selon lequel il n’y a en règle générale pas atteinte à la personnalité lorsque la personne concernée a rendu les données accessibles à tout un chacun et ne s’est pas opposée formellement au traitement.

Quoi qu’en dise l’assurée, on ne saurait considérer que l’autorisation à laquelle elle se réfère justifiait que Mutuel Assurances transmît les rapports médicaux la concernant à Avenir Assurance à la date du 25.10.2017, considérée comme déterminante par la juridiction cantonale. Si l’assurée a bien accepté peu auparavant de lever l’obligation des « autres assureurs membres du Groupe Mutuel, Association d’assureurs » de garder le secret envers Avenir Assurance (cf. « Déclaration du proposant » signée par l’assurée le 13.09.2017), son accord porte sur des cas dans lesquels il existe des soupçons de réticence ou de fraude. Or elle n’allègue pas qu’Avenir Assurance aurait dû soupçonner une réticence ou une fraude au moment où Mutuel Assurances a reçu le rapport médical du 15.10.2017, dix-jours plus tard, ce qui aurait pu justifier qu’Avenir Assurance sollicitât des renseignements auprès de Mutuel Assurances. A cette date, en l’absence de tout soupçon, Avenir Assurance n’avait pas à vérifier l’éventualité d’une réticence ou d’une fraude, pas plus qu’elle n’avait non plus à faire spontanément des recherches auprès de l’assureur privé, « pour toutes les questions posées en rapport avec le questionnaire médical en vue de la conclusion du contrat » (cf. déclaration précitée). La juridiction cantonale le reconnaît du reste lorsqu’elle retient qu’on ne peut exiger d’une caisse-maladie qu’elle procède sans autre indice spontanément, et dans chaque cas, à une enquête sur d’éventuelles maladies antérieures de l’intéressée ou sur les prestations d’assurance qui pourraient lui avoir été allouées précédemment. L’accord de l’assurée ne constituait dès lors pas une autorisation générale donnée à Avenir Assurance d’avoir accès à toutes les données recueillies à son sujet par Mutuel Assurances.

 

Consid. 5.3.1
Cela étant, la question qui se pose au regard des considérations de la juridiction cantonale est de savoir si Avenir Assurance doit se voir imputer la connaissance qu’avait Mutuel Assurances des faits concernant l’assurée. A cet égard, la juridiction cantonale a fondé l’imputation de la connaissance sur le critère de l’accessibilité, selon lequel la personne morale est censée connaître des faits ou disposer de renseignements dès que l’information correspondante est accessible au sein de son organisation (cf. arrêt 4A_294/2014 cité consid. 4 et les arrêts cités).

Selon la jurisprudence en effet, une personne morale dispose de la connaissance, déterminante sous l’angle juridique, d’un état de fait lorsque l’information correspondante est objectivement accessible au sein de son organisation (ATF 109 II 338 consid. 2b; arrêts 4A_614/2016 du 3 juillet 2017 consid. 6.3.1 et les arrêts cités; 9C_199/2008 du 19 novembre 2008 consid. 4.1 [SVR 2009 BVG n° 12 p. 37]; B 50/02 du 1er décembre 2003 consid. 3 [SVR 2004 BVG n° 15 p. 49]). A cet égard, ce sont les circonstances du cas concret qui permettent de décider si l’on peut imputer à l’ayant droit la connaissance de certains actes, dont certains de ses collaborateurs ont eu vent dans l’exercice de leurs fonctions (arrêt 4C.371/2005 du 2 mars 2006 consid. 3.1, in SJ 2007 I p. 7, avec la référence à l’ATF 109 II 338 consid. 2b-e). Ainsi, les faits dont la société mère a connaissance sont opposables à la société fille lorsque les deux entités juridiques disposent d’une banque de données électronique commune et emploient les mêmes collaborateurs (cf. arrêt 5C.104/2001 du 21 août 2001 consid. 4c/bb et les références).

Consid. 5.3.2
En l’occurrence, le critère de l’accessibilité des données ne saurait être appliqué en faisant abstraction de la position particulière d’Avenir Assurance en tant qu’assureur-maladie social. La caisse-maladie, en pratiquant l’assurance-maladie sociale (y compris l’assurance d’indemnités journalières au sens de l’art. 67 LAMal) remplit une tâche publique de la Confédération et est soumise à des règles plus strictes en matière de protection des données que les entreprises n’ayant pas une telle fonction (cf. Rapport du Conseil fédéral, du 18 décembre 2013, en réponse au postulat Heim [08.3493], Protection des données des patients et protection des assurés, p. 4; cf. aussi les critiques sur le critère de l’accessibilité en lien avec les obligations de secret de ANNICK FOURNIER, L’imputation de la connaissance, Genève/Zurich/Bâle 2021, n° 767 ss p. 250 ss et n° 800 p. 263). Nonobstant l’organisation commune d’Avenir Assurance et de Mutuel Assurances, qui sont des personnes morales distinctes l’une de l’autre, la seconde est, à l’égard de la première, un tiers au sens de l’art. 84a al. 5 LAMal (arrêt A-3548/2018 du Tribunal administratif fédéral du 19 mars 2019 consid. 4.8.2; UELI KIESER, Kommentar ATSG, 4e éd. 2020, ad art. 33 n° 23 s.; ANNE-SYLVIE DUPONT, La protection des données confiées aux assureurs, in La protection des données dans les relations de travail, 2017, p. 212). Or dans les rapports avec des tiers, les aspects liés au transfert et au traitement des informations, voire d’éventuelles limites légales de la transmission des informations ont aussi leur importance (cf. arrêt 4C.44/1998 du 28 septembre 1999 consid. 2d/aa et les références, in sic! 5/2000 p. 407; cf. aussi arrêt 4C.335/1999 du 25 août 2000 consid. 5b, in SJ 2001 I p. 186). Lorsque, comme en l’espèce – et à la différence de la situation jugée par l’arrêt 4A_294/2014 cité, dans laquelle le Tribunal fédéral a retenu que l’assureur privé a concrètement eu connaissance des données en cause de l’assureur-maladie social -, est en cause le comportement d’un assureur-maladie social, il y a lieu de prendre en considération les caractéristiques de l’organisation des caisses-maladie qui se doit d’être conciliable avec le régime légal de la protection des données, auxquelles celles-ci sont soumises en tant qu’organe fédéral au sens de l’art. 3 let. h LPD (sur ce dernier point ATF 133 V 359 consid. 6.4 et les références; arrêt A-3548/2018 cité consid. 4.5.5 et les références). Dans le cadre de son organisation, la caisse-maladie est tenue de respecter les règles légales et ne peut contraindre ses organes ou collaborateurs à violer la loi.

En matière de protection des données, l’assureur-maladie social n’est en droit de traiter de données sensibles – dont les données sur la santé (art. 3 let. c LPD) – que si une loi au sens formel le prévoit expressément (cf., de manière générale, l’art. 84 LAMal) ou si, exceptionnellement (et entre autres éventualités), la personne concernée y a consenti ou a rendu ses données accessibles à tout un chacun et ne s’est pas opposée formellement au traitement (art. 17 al. 2 let. c LPD). Il est tenu de prendre les mesures techniques et organisationnelles nécessaires pour garantir la protection des données (art. 84b LAMal; cf. aussi l’art. 7 al. 1 LPD). Dans ce cadre, il doit assurer que le traitement des données, y compris la collecte des données et leur exploitation (cf. art. 3 let. e LPD), soit effectué en conformité à la loi. Or, celle-ci interdit un échange d’informations général entre la caisse-maladie et une assurance complémentaire privée, même si elles appartiennent à un même groupe d’assureurs, que le transfert de données se fasse de l’assureur-maladie social à l’assureur privé ou dans l’autre sens (Message du Conseil fédéral, du 20 septembre 2013, concernant la modification de la loi fédérale sur l’assurance-maladie [Compensation des risques. Séparation de l’assurance de base et des assurances complémentaires], FF 2013 7135 ss, ch. 2 p. 7148 ad art. 13 al. 2 let. g P-LAMal). Une communication de ces données personnelles ne peut être envisagée qu’avec le consentement de la personne concernée (cf. art. 13 al. 1 LPD sur le consentement de l’intéressé et art. 84a al. 5 LAMal sur le transfert des données par la caisse-maladie au tiers), qui n’a pas été donné en l’espèce (consid. 5.2 supra). La référence que fait la juridiction cantonale à l’art. 84a al. 1 let. a et b LAMal (communication de données par l’assureur-maladie à d’autres organes d’application de la LAMal ou de la LSAMal [RS 832.12] et aux organes d’une autre assurance sociale) n’est pas pertinente, dès lors que le transfert de données ne concerne pas deux assureurs pratiquant tous deux l’assurance-maladie obligatoire.

Consid. 5.3.3
Par ailleurs, l’autorité de surveillance des assureurs-maladie sociaux exige de leur part de choisir et de mettre en place des voies de traitement des données séparées lorsque le recours aux mêmes flux de données personnelles pour l’assurance obligatoire des soins et pour les assurances régies par la LCA recèle un potentiel d’usage abusif (Circulaire n° 7.1 du 17 décembre 2015 de l’OFSP, Assureurs-maladie: organisation et processus conformes à la protection des données [aujourd’hui: Circulaire n° 7.1 du 20 décembre 2021, Surveillance par l’OFSP des domaines soumis aux dispositions de la LSAMal, de l’OSAMal, de la LAMal et de l’OAMal relatives à la protection des données], Annexe 2, p. 11; cf. aussi sur la nécessité d’un « mur de protection » des données à l’intérieur d’un groupe d’assureurs, GEBHARD EUGSTER, Krankenversicherung [E], in: Schweizerisches Bundesverwaltungsrecht [SBVR], Soziale Sicherheit, 3e éd. 2016, p. 871 n° 1551; YVONNE PRIEUR, Unzureichender Schutz der Gesundheitsdaten bei den Krankenversicherern, Jusletter du 18 février 2008, n° 4 ss).

A cet égard, Avenir Assurance fait valoir que les dossiers respectifs de l’assurée auprès d’elle et de Mutuel Assurances ont été enregistrés séparément sous des numéros différents et qu’ils sont traités par deux collaboratrices différentes qui n’ont pas un accès réciproque et systématique aux données de l’autre assureur, toute autre organisation violant les exigences de la LPD. Dans ces circonstances, rien n’indique que la collaboratrice chargée du traitement du dossier de l’assurée auprès d’Avenir Assurance aurait, en violation des règles en la matière, accédé spontanément aux données recueillies par Mutuel Assurances pour en prendre connaissance ou que celle-ci les aurait transmises et rendues ainsi accessibles à la caisse-maladie. On ne saurait donc admettre qu’Avenir Assurance a eu accès à l’information déterminante faisant partie des données de l’assurance privée, malgré leur organisation commune (cf. aussi l’art. 9 al. 1 let. g [en relation avec l’art. 20 al. 1 OLPD; RS 235.11], selon lequel les personnes autorisées ont accès uniquement aux données personnelles dont elles ont besoin pour accomplir leurs tâches). Il convient, en l’occurrence, de prendre en considération le fait que la collaboratrice d’Avenir Assurance chargée de la gestion du dossier de l’assurée n’avait en tout état de cause pas le droit d’accéder spontanément aux données concernant celle-ci aux mains de Mutuel Assurances; une imputation de la connaissance de données en cas de transfert illégal de celles-ci dans le domaine de l’assurance-maladie obligatoire apparaît problématique sous l’angle des obligations en matière de protection des données incombant à l’assureur-maladie social (cf. dans ce sens, de manière générale, FOURNIER, op. cit., n° 768 p. 251 et n° 1283 p. 414; HANS CASPAR VON DER CRONE/PATRICIA REICHMUTH, Aktuelle Rechtsprechung zum Aktienrecht, RSDA 4/2018, p. 413).

Consid. 5.3.4
Il suit de ce qui précède qu’Avenir Assurance n’a pas eu ou n’aurait pas dû avoir connaissance du rapport du médecin traitant du 15.10.2017 au moment où il a été transmis à Mutuel Assurances le 25.10.2017. Ce n’est qu’après avoir reçu l’autorisation de l’assurée, en décembre 2019, de requérir des renseignements auprès de tiers (procuration signée le 02.12.2019), dans le cadre de l’annonce du 29.08.2019 d’un arrêt de travail survenu en mars 2019, qu’Avenir Assurance a eu accès aux données recueillies par l’assurance privée (cf. « Dossier médical de Mutuel Assurances SA » produit par Avenir Assurance en instance cantonale), et donc pu avoir connaissance des faits dont elle pouvait déduire une situation de réticence. En conséquence, en décidant le 09.01.2020 d’émettre une réserve rétroactive en relation avec l’hydrocéphalie et ses complications dès le 13.09.2017 pour une durée de cinq ans, Avenir Assurance a agi dans le délai d’un an prévu par la jurisprudence (ATF 110 V 308 consid. 1; arrêt 9C_28/2007 du 22 juin 2007 consid. 2.2).

Pour le reste, l’assurée, dont la réponse porte exclusivement sur la violation de la LPD invoquée par Avenir Assurance, ne remet pas en cause les constatations de la juridiction cantonale sur l’existence d’une réticence en lien avec l’hydrocéphalie ainsi que sur le fait que c’est bien cette atteinte qui a provoqué l’incapacité de travail survenue dès le 16.03.2019. Compte tenu de ces constatations et de la validité de la réserve émise par Avenir Assurance, celle-ci n’a pas à allouer d’indemnités journalières en raison de cette incapacité de travail. Les conclusions d’Avenir Assurance tendant à l’annulation de l’arrêt entrepris sur ce point sont bien fondées.

 

Le TF admet le recours d’Avenir Assurance, annule le jugement cantonal portant sur l’obligation de la caisse-maladie de verser des prestations à l’assurée pour l’incapacité de travail survenue dès le 16.03.2019.

 

 

Arrêt 9C_650/2021 consultable ici

 

Jurisprudence

4A_518/2020 (f) du 25.08.2021 – Accès par l’employeur aux conversations privées sur le téléphone portable et messagerie électronique professionnels / Tort moral – Atteinte illicite à la personnalité du travailleur / Traitement de données personnelles au sens de l’art. 3 LPD par l’employeur / Respect des principes généraux de la LPD – Bonne foi et proportionnalité

Laisser un commentaire

Arrêt du Tribunal fédéral 4A_518/2020 (f) du 25.08.2021

 

Consultable ici

 

Accès par l’employeur 5 mois après le licenciement aux conversations privées sur le téléphone portable et messagerie électronique professionnels

Tort moral – Atteinte illicite à la personnalité du travailleur / 328 CO – 328b CO – 49 al. 1 CO

Traitement de données personnelles au sens de l’art. 3 LPD par l’employeur

Respect des principes généraux de la LPD – Bonne foi et proportionnalité

 

Procédure cantonale (arrêt CAPH/163/2020 – consultable ici)

La cour cantonale a écarté diverses pièces produites par l’employeuse, consistant qui en des conversations WhatsApp privées échangées sur le téléphone portable mis à disposition de l’employé, qui en des courriels intimes envoyés depuis sa messagerie professionnelle : il s’agissait de preuves obtenues en violation des art. 143bis al. 1 et 179novies CP, 328 et 328b CO, et 8 CEDH.

Les pièces n. 2 et 2bis consistaient en des courriels intimes que l’employé avait échangés, au moyen de sa messagerie professionnelle, avec une collègue intimement liée à lui. L’employeuse (qui n’avait pas interdit l’utilisation de la messagerie à des fins privées) y avait accédé sans l’autorisation de l’employé. Elle avait violé ses droits de la personnalité, de sorte que ces preuves avaient été obtenues illicitement.

S’agissant des autres pièces, l’employeuse, par l’entremise de la fille du directeur général D1.________, avait récupéré sans l’autorisation de l’employé des conversations WhatsApp privées qu’il avait échangées, via son téléphone portable, avec des proches et des collègues. Cette récupération était intervenue par le biais de son compte iCloud personnel protégé par un mot de passe. L’employeuse savait que l’employé utilisait son téléphone professionnel à des fins privées et l’avait autorisé à supprimer les données privées avant de le restituer; elle ne pouvait, sans violer le principe de la bonne foi, récupérer cinq mois plus tard ces données sans solliciter l’autorisation de celui-ci. Le procédé était en outre extrêmement intrusif. Il s’agissait aussi de moyens de preuve illicites.

Le litige s’inscrivant dans un contexte privé à caractère purement patrimonial, l’intérêt à la découverte de la vérité ne prévalait pas sur le droit de l’employé à la protection de sa personnalité.

La cour cantonale a alloué à l’employé une indemnité pour tort moral de 5’000 fr. motivée par la grave atteinte que l’employeuse avait portée à sa personnalité (art. 328 et 328b CO en lien avec l’art. 49 al. 1 CO). Son argumentation peut se résumer comme il suit:

Après le licenciement immédiat de l’employé, l’employeuse avait accédé sans autorisation aux conversations privées que celui-ci avait échangées avec autrui sur son téléphone portable et sa messagerie électronique professionnels.

Le contrat précisait certes que le téléphone portable ne devait être utilisé qu’à des fins professionnelles. L’intéressée savait néanmoins que l’employé en faisait aussi un usage privé puisqu’elle lui avait donné la possibilité de supprimer ses données privées avant de restituer l’appareil. Dans ce contexte, récupérer cinq mois plus tard, sans autorisation, les données du téléphone via le compte iCloud personnel de l’employé constituait non seulement une atteinte à la personnalité, mais aussi une violation du principe de la bonne foi. Quant à la messagerie professionnelle, l’employeuse n’avait pas interdit son utilisation à des fins privées et y avait également accédé sans autorisation alors que le contenu des messages était personnel. Ce faisant, elle avait derechef porté atteinte à la personnalité de l’employé.

L’employeuse entendait récolter des preuves susceptibles d’accabler l’employé. Or, d’autres méthodes moins intrusives lui eussent permis de sauvegarder ses intérêts, notamment en récoltant des informations auprès des employés qui avaient travaillé avec l’intimé et en demandant leur audition en tant que témoins.

D’un point de vue objectif, l’atteinte (illicite) à la personnalité était particulièrement grave. Les données obtenues ne relevaient pas seulement de la sphère privée de l’employé, mais aussi de sa sphère intime, notamment sexuelle. Qui plus est, l’employeuse avait eu accès à l’ensemble des conversations privées que l’employé avait échangées sur son téléphone portable professionnel durant les rapports de travail. Certaines données avaient même été portées à la connaissance de tiers tels que des employés de l’entreprise, des membres de la famille de D1.__ [directeur général de l’entreprise] ou des personnes ayant eu accès à la présente procédure, dont les employés de l’assurance chômage.

Sur le plan subjectif, l’atteinte subie par l’employé, déjà fragilisé psychologiquement par la résiliation des rapports de travail, était effectivement de nature à provoquer la forte souffrance morale qu’il disait avoir ressentie.

 

TF

L’employeur est tenu de protéger et respecter, dans les rapports de travail, la personnalité du travailleur (art. 328 al. 1 CO).

Il ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail. En outre, les dispositions de la loi fédérale sur la protection des données (LPD) sont applicables (art. 328b CO).

Selon l’art. 3 LPD, constituent des données (personnelles) toutes les informations se rapportant à une personne identifiée ou identifiable (let. a). Par traitement, il faut comprendre toute opération relative à des données personnelles – quels que soient les moyens et procédés utilisés – notamment la collecte, la conservation, l’exploitation, la modification, la communication, l’archivage ou la destruction de données (let. e).

Tout traitement de données doit être licite, et effectué conformément aux principes de la bonne foi et de la proportionnalité (art. 4 al. 1 et 2 LPD).

Une atteinte à la personnalité est illicite à moins d’être justifiée par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi (art. 13 al. 1 LPD; cf. aussi art. 28 al. 2 CC).

 

Traitement de données personnelles au sens de l’art. 3 LPD

Les informations/données visées par l’art. 3 let. a LPD peuvent consister en des constatations de fait ou en des jugements de valeur se rapportant à une personne identifiée ou identifiable. Peu importe la forme des données (signe, mot, image, son ou une combinaison de ces éléments) et le support sur lequel elles reposent (matériel ou électronique) (cf. entre autres PORTMANN/RUDOLPH, in Basler Kommentar [Obligationenrecht I], 7e éd. 2020, n° 3 ad art. 328b CO; GABOR BLECHTA, in Basler Kommentar [Datenschutzgesetz], 3e éd. 2014, n° 6 ad art. 3 LPD; PHILIPPE MEIER, Protection des données, 2011, n° 422). Constituent ainsi des données au sens de l’art. 328b CO tous les renseignements, indications ou notes concernant la personne du travailleur, ses relations et ses activités, qu’elles portent sur sa vie privée ou professionnelle (MEIER, op. cit., n° 2031).

Quant à la notion de traitement, qui est très large comme le montre la définition légale précitée, il est admis qu’elle vise notamment la démarche de l’employeur qui prend intentionnellement connaissance (ou collecte) des données personnelles d’un de ses employés. La simple transmission de données personnelles constitue une communication au sens de l’art. 3 let. f LPD,et partant un traitement de données selon l’art. 3 let. e LPD (arrêt 4A_661/2016 du 31 août 2017 consid. 3.1).

A l’aune de ces précisions, l’employeur conteste sans succès que l’accession à des messages que l’employé avait échangés avec des tiers sur son téléphone portable et sa messagerie électronique professionnels, respectivement leur prise de connaissance et leur transmission à autrui constituent un traitement de données personnelles au sens de l’art. 3 LPD (cf. PETER HAFNER, Auswertung der E-Mails von Arbeitnehmern, PJA 2018 p. 1328 et 1329 point III/A).

 

Atteinte illicite à la personnalité du travailleur

Se pose ensuite la question de savoir si ce traitement constitue une atteinte illicite à la personnalité du travailleur, étant entendu que la protection de l’art. 328b CO peut s’exercer même après la fin des rapports de travail (ATF 131 V 298 consid. 6.1 i.f. p. 304).

Les droits de la personnalité d’une personne physique englobent le droit au respect de la vie privée, qui comprend une sphère privée et une sphère intime. En font parties les informations de nature personnelle transmises au moyen de la messagerie électronique. L’irruption d’un tiers dans cette sphère, notamment pour rassembler des informations, constitue une atteinte à la personnalité (ATF 130 III 28 consid. 4.2 p. 33). En l’occurrence, la nature privée, et parfois même intime, des messages consultés n’est pas contestée, de sorte qu’il n’y a guère de quoi disputer l’atteinte à la sphère privée de l’intéressé (cf. arrêt 4A_465/2012 du 10 décembre 2012 consid. 3.2 ab initio). Le cœur du litige porte bien plutôt sur la licéité de cette atteinte.

Il existe des dissensions doctrinales sur la nature et la portée de l’art. 328b CO (cf. le résumé de la querelle présenté par HAFNER, op. cit., p. 1330; JEAN-PHILIPPE DUNAND, Commentaire du contrat de travail, 2013, n° 4 ad art. 328b CO; MEIER, op. cit., nos 2032 ss; ROSENTHAL/JÖHRI, in Handkommentar zum Datenschutzgesetz, 2008, nos 3 ss ad art. 328b CO). Pour la majorité toutefois, cette norme concrétise les principes de proportionnalité et de finalité ancrés à l’art. 4 al. 2 et 3 LPD (cf. entre autres HAFNER, op. cit., p. 1330; MEIER, op. cit., n° 2037; Message du 23 mars 1988 concernant la loi fédérale sur la protection des données, FF 1988 II 494).

Cela étant, le Tribunal fédéral a précisé que l’art. 328b CO introduit une présomption de licéité du traitement de données lorsqu’elles «portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat» (ATF 130 II 425 consid. 3.3 p. 434). Le traitement de données est en principe licite lorsqu’il est en relation directe avec la conclusion ou l’exécution d’un contrat. L’art. 328b CO concrétise ce fait justificatif dans le domaine des rapports de travail en désignant deux situations qui autorisent a priori le traitement de données (GABRIEL AUBERT, La protection des données dans les rapports de travail, in Journée 1995 de droit du travail et de la sécurité sociale, 1999, p. 150).

De façon générale, la doctrine admet qu’un traitement de données s’inscrivant dans le champ de l’art. 328b CO (i.e. a priori licite) doit néanmoins respecter les principes généraux de la LPD, en particulier la bonne foi et la proportionnalité (HAFNER, op. cit., p. 1330 i.f.et 1334; DUNAND op. cit., nos 13 et 34 ad art. 328b CO; STREIFF ET ALII, Arbeitsvertrag, Praxiskommentar zu Art. 319-362 OR, 7e éd. 2012, p. 583 n. 7 et p. 621 n. 18; MEIER, op. cit., no 2055; REHBINDER/STÖCKLI, Berner Kommentar, 2010, n° 7 ad art. 328b CO; ADRIAN STAEHELIN, Zürcher Kommentar, 4e éd. 2006, nos 1 et 8 ad art. 328b CO; AUBERT, op. cit., p. 150 i.f.; cf. aussi ATF 130 II 425 consid. 3.3 p. 434). Ce dernier principe commande de mettre en balance l’intérêt de l’auteur du traitement des données et celui de la personne concernée par ce traitement (cf. par ex. MEIER, op. cit., n° 665 s.). Lorsque le traitement de données n’entre pas dans le cadre de l’art. 328b CO, il est présumé illicite et doit pouvoir se fonder sur un autre motif justificatif au sens de l’art. 13 LPD (PORTMANN/RUDOLPH, op. cit., nos 7 et 23 ad art. 328b CO; DUNAND, op. cit., n° 25 ad art. 328b CO; MEIER, op. cit., nos 2056 et 2060; SUBILIA/DUC, Droit du travail, 2010, nos 20 ss ad art. 328b CO; REHBINDER/STÖCKLI, op. cit., n° 11 ad art. 328b CO; ROSENTHAL/JÖHRI, op. cit., nos 12-14 ad art. 328b CO; AUBERT, op. cit., p. 151; cf. aussi l’arrêt 4A_588/2018 du 27 juin 2019 consid. 4.3.1; contra STREIFF ET ALII, op. cit., p. 579 n. 3).

La doctrine est encline à distinguer selon que l’employeur a interdit, autorisé ou toléré l’utilisation de la messagerie électronique et du téléphone portable professionnels à des fins privées. La marge de manœuvre de l’employeur serait plus large lorsqu’il a interdit l’utilisation privée de ces moyens de communication, parce qu’il est alors légitimé à contrôler si l’employé respecte ses directives (cf. DUNAND, op. cit., nos 82 ss ad art. 328b CO; STREIFF ET ALII, op. cit., p. 621-623 n. 18; GABRIEL AUBERT, in Commentaire romand [Code des obligations I], 2e éd. 2012, nos 8-9 ad art. 328b CO; MEIER, op. cit., nos 2170 ss; BERTIL COTTIER, La protection des données, in Internet au lieu de travail, 2004, p. 100 s.; cf. en outre le Guide du Préposé fédéral à la protection des données destiné à l’économie privée, «relatif à la surveillance de l’utilisation d’Internet et du courrier électronique au lieu de travail» [état: septembre 2013], accessible sur le site Internet www.edoeb.admin.ch, spéc. points B.5.4 et B.5.7). Des limites doivent être posées (STREIFF ET ALII, op. cit., p. 622). D’aucuns précisent que même en cas d’interdiction, l’employeur doit en principe s’abstenir de prendre connaissance du contenu des courriels privés ou des conversations téléphoniques privées de l’employé (DUNAND, op. cit., nos 83 i.f., 96 et 103 ad art. 328b CO; MEIER, op. cit., n° 2176, qui concède l’aspect artificiel de cette prescription; ROSENTHAL/JÖHRI, op. cit., no 64 ad art. 328b CO).

En l’occurrence, l’employeuse insiste sur le fait que les messages WhatsApp et les courriers électroniques ont été échangés sur des supports professionnels (téléphone portable et ordinateur) qu’elle avait mis à disposition de l’employé. Elle semble ainsi soutenir entre les lignes que le traitement de ces données s’inscrivait dans le cadre autorisé par l’art. 328b CO, en tant qu’il devait établir les aptitudes du travailleur à remplir son emploi ou s’avérait nécessaire à l’exécution du contrat de travail. Ces données – qu’elle distille dans son recours – démontreraient que l’employé n’effectuait pas les heures supplémentaires prétendues et mettraient en relief son incapacité à «manager» du personnel.

La doctrine semble encline à interpréter largement la notion de données «nécessaires à l’exécution du contrat de travail». Plusieurs auteurs indiquent que sont notamment visées les données nécessaires à la conduite d’un procès portant sur un litige relatif aux rapports de travail (PORTMANN/RUDOLPH, op. cit., n° 9 ad art. 328b CO; JÜRG BRÜHWILER, Einzelarbeitsvertrag, 3e éd. 2014, n° 2 ad art. 328b CO; STREIFF ET ALII, op. cit., p. 583 n. 6 i.f.; MEIER, op. cit., nos 2072 i.f.et 2131; ROSENTHAL/JÖHRI, op. cit., no 27 ad art. 328b CO, qui mentionnent le cas d’une recherche dans les e-mails privés de l’employé; STAEHELIN, op. cit., n° 6 ad art. 328b CO). Toutefois, lors même que l’accession aux messages privés et leur consultation s’inscriraient dans le champ d’activités a priori autorisées par l’art. 328b CO, ces traitements de données restent assujettis aux principes généraux de la LPD.

Il a été constaté en fait que l’employeuse était mue par le souci de trouver des preuves susceptibles d’accabler l’employé. Elle avait successivement notifié deux résiliations de contrat, l’une ordinaire, l’autre avec effet immédiat, et par deux fois l’employé avait manifesté son opposition; dans un possible accès de rage, il avait annoncé son intention de lui «pourrir la vie» et déclaré vouloir invalider l’avenant d’octobre 2016 relatif au délai de congé. Un procès était dès lors prévisible, et l’employeuse devait bien s’attendre à ce que l’ex-employé émette des prétentions pécuniaires. En revanche, un intérêt à protéger les autres employés ne pouvait guère être revendiqué puisque les rapports de travail avaient pris fin.

Selon la doctrine précitée, la nécessité de recueillir des preuves en prévision d’un procès portant sur la fin des rapports de travail peut entrer dans le champ de l’art. 328b CO.

L’autorité cantonale a toutefois jugé qu’il existait d’autres moyens d’investigation moins intrusifs permettant d’atteindre le but recherché par l’employeuse, qui pouvait notamment recueillir des renseignements auprès des employés et les faire auditionner comme témoins. Ce faisant, elle a brandi le principe de proportionnalité et soupesé les intérêts en cause, considérant que celui de l’employeuse à récolter des preuves pour se défendre n’était pas prépondérant dans cette affaire de nature patrimoniale et ne justifiait pas pareille intrusion dans la vie intime de l’intéressé.

Dans les circonstances d’espèce, il faut bien admettre que la Cour de justice n’a pas enfreint le droit fédéral en tirant une telle conclusion, ni abusé de son pouvoir d’appréciation. En jetant en pâture jusque dans son recours des pans de la vie intime de l’employé pour défendre ses intérêts financiers, l’employeuse ne réussit qu’à démontrer son absence totale d’égard pour la personnalité de l’employé.

 

Indemnité pour tort moral

Le salarié victime d’une atteinte à la personnalité contraire à l’art. 328 CO (respectivement à l’art. 328b CO) du fait de son employeur peut, le cas échéant, prétendre à une indemnité pour tort moral aux conditions fixées par l’art. 49 al. 1 CO (ATF 130 III 699 consid. 5.1 p. 704; arrêt précité 4A_465/2012 consid. 3.2).

Selon cette disposition, celui qui subit une atteinte illicite à sa personnalité a droit à une somme d’argent à titre de réparation morale, pour autant que la gravité de l’atteinte le justifie et que l’auteur ne lui ait pas donné satisfaction autrement. N’importe quelle atteinte légère à la réputation professionnelle, économique ou sociale d’une personne ne justifie pas une réparation (ATF 130 III 699 consid. 5.1 p. 704; 125 III 70 consid. 3a p. 75). L’atteinte doit avoir une certaine gravité objective et doit avoir été ressentie par la victime, subjectivement, comme une souffrance morale suffisamment forte pour qu’il apparaisse légitime qu’une personne, dans ces circonstances, s’adresse au juge pour obtenir réparation (arrêt précité 4A_465/2012 consid. 3.2; arrêt 4A_665/2010 du 1er mars 2011 consid. 6.1).

En l’espèce, la gravité de l’atteinte a été suffisamment soulignée par la cour cantonale. Quant à la souffrance morale de l’employé, elle est d’autant plus évidente que l’employeuse ne lui a pas épargné l’étalage des détails de sa vie intime dans le contexte de la présente procédure. Le fait que l’intéressé ait adopté des comportements importuns à caractère sexuel sur son lieu de travail avant la résiliation de son contrat ne le prive pas pour autant du droit au respect de sa sphère privée et intime. L’employeuse a beau jeu de prétendre que la femme et le fils de son directeur général (D1.__) avaient le droit d’être informés par le menu, à mesure qu’ils seraient eux-mêmes victimes d’atteinte à l’honneur: elle ne saurait légitimer a posteriori son intrusion par ce qu’elle prétend avoir découvert ou l’interprétation qu’elle en livre. Quant aux employés de la caisse de chômage qui n’auraient, à l’en croire et de manière quasi certaine, même pas consulté le dossier, et donc pas pris connaissance des éléments touchant à la vie intime de l’employé, ce ne sont certes pas les descriptions qui jalonnent les écritures de l’employeuse qui sont aptes à les en dissuader. C’est donc à bon droit que la cour cantonale a condamné l’employeuse à payer à l’employé une indemnité pour tort moral dont le montant – incontesté en tant que tel – doit être confirmé.

 

 

Arrêt 4A_518/2020 consultable ici

 

 

News - Informations

Ouverture de la consultation concernant la révision de l’ordonnance sur la protection des données

Laisser un commentaire

Ouverture de la consultation concernant la révision de l’ordonnance sur la protection des données

 

Communiqué de presse de l’OFJ du 23.06.2021 consultable ici

 

Le Parlement a adopté la nouvelle loi sur la protection des données (nLPD) lors de sa session d’automne 2020. En vue de son entrée en vigueur, l’ordonnance relative à la loi sur la protection des données (OLPD) a dû être adaptée. Le Conseil fédéral a ouvert la procédure de consultation à l’occasion de la séance du 23 juin 2021. Elle court jusqu’au 14 octobre 2021.

La révision totale de la LPD permettra d’assurer une meilleure protection des données personnelles. Les dispositions sont adaptées aux avancées technologiques. Les droits des personnes vis-à-vis de leurs données ainsi que la transparence sur la façon dont elles sont collectées sont améliorés. De nouvelles dispositions garantissent la compatibilité avec le droit européen permettant ainsi à la Suisse de ratifier la version modernisée de la convention 108 du Conseil de l’Europe sur la protection des données. Ces modifications sont importantes pour que l’UE continue de reconnaître la Suisse comme un État tiers ayant un niveau de protection des données adéquat et que l’échange de données transfrontière reste possible.

Il a fallu concrétiser de nombreuses dispositions de la nLPD dans l’ordonnance. Ces adaptations doivent être effectuées pour que la loi puisse entrer en vigueur. Les modifications concernent les exigences minimales en matière de sécurité des données, les modalités du devoir d’informer, du droit d’accès aux données ainsi que l’annonce des violations de la sécurité des données. Des exceptions à l’obligation de tenir un registre des activités de traitement des données sont prévues pour les entreprises qui comptent moins de 250 employés. En outre, l’ordonnance précise les critères permettant la communication de données personnelles à l’étranger : le Conseil fédéral devra définir si un État garantit un niveau de protection adéquat ou non. D’autres adaptations sont apportées au niveau des dispositions relatives au Préposé fédéral à la protection des données et à la transparence, dont le rôle et l’indépendance sont renforcés dans la nLPD. Enfin, les tâches des conseillers à la protection des données au sein de l’administration fédérale sont précisées.

La consultation s’achèvera le 14 octobre 2021 et l’ordonnance devrait entrer en vigueur au deuxième semestre 2022, en même temps que la nLPD. Le Conseil fédéral communiquera la date exacte en temps voulu. La Suisse ratifiera aussi la nouvelle version de la convention 108 du Conseil de l’Europe à la même date.

 

 

Communiqué de presse de l’OFJ du 23.06.2021 consultable ici

Révision totale de l’ordonnance relative à la loi fédérale sur la protection des données – Rapport explicatif relatif à la procédure de consultation, 23.06.2021, disponible ici

Tableau comparatif P-OLPD – OLPD – nLPD, 23.06.2021, disponible ici

Site internet du Conseil de l’Europe, Convention 108 et Protocoles, consultable ici

 

 

News - Informations

Révision de la loi sur la protection des données : le profilage divise encore les chambres fédérales

Laisser un commentaire

Révision de la loi sur la protection des données : le profilage divise encore les chambres fédérales

 

Communiqué de presse du Parlement du 05.03.2020 consultable ici

 

La révision de la loi sur la protection des données butte encore sur le profilage. Le National a rejeté jeudi une proposition des sénateurs pour une protection stricte des données des citoyens.

Le Conseil des Etats voulait corriger la version assez libérale choisie par le Conseil national. Il demandait une garantie de protection si le profilage à partir des données personnelles entraînait un risque « élevé » pour le citoyen. La gauche et les Vert’libéraux n’ont pas réussi à rallier la Chambre du peuple à ce concept.

Avec cette définition, les risques seraient différenciés. Les données transmises à une librairie pour lui permettre de cibler des ouvrages pour ses clients seraient considérées comme peu sensibles. En revanche, chacun se rappelle l’indignation qu’avait suscité le profilage pratiqué par les CFF, a rappelé Beat Flach (PVL/AG).

Il ne s’agit pas d’interdire le profilage, mais de savoir à quel moment il faut l’accord express des personnes pour le traitement de leurs données, a ajouté Cédric Wermuth (PS/AG). La question du profilage est au cœur de ce projet. En renonçant à la version du Conseil des Etats, on abaisse le niveau actuel de protection des données à l’heure même du Big Data », a mis en garde Balthasar Glättli (Verts/ZH).

 

Pas de « swiss finish »

En vain. Le PLR, le PDC et l’UDC ont rejeté la proposition des sénateurs. Avec cette définition restrictive, pratiquement tout traitement de données tomberait sous le coup du Règlement général pour la protection des données (RGPD) adopté par l’UE en novembre 2018. Ce serait du « swiss finish », a relevé Marco Romano (PDC/TI) pour qui la loi ne doit pas générer davantage d’interventionnisme.

Le PLR, le PDC et le PVL ont finalement opté pour un compromis. La protection serait garantie en cas de « profilage aboutissant à des données personnelles sensibles ». Au vote, cette proposition a passé par 65 voix contre 57 et 65 abstentions issues du PS et des Verts.

La conseillère fédérale Karin Keller-Sutter a cependant rappelé que le traitement de données sensibles était déjà réglé dans le droit actuel. Et pour Balthasar Glättli (Verts/ZH), cette définition est une coquille vide.

 

Evaluation de la solvabilité

Les députés ont également refusé la solution du Conseil des Etats au sujet des données sur la solvabilité. La gauche a vainement plaidé pour qu’on dise au citoyen si ses données sont utilisées pour évaluer sa solvabilité.

Par 105 voix contre 83, la droite l’a également emporté pour que les données puissent remonter à dix ans et non cinq comme l’aurait souhaité le Conseil fédéral. « Dix ans, c’est long. Beaucoup de choses peuvent avoir changé entretemps », a plaidé la ministre de la justice.

D’autres divergences sont encore sur la table. Parmi les données personnelles à protéger, le National ne veut protéger que les données génétiques permettant d’identifier une personne sans équivoque. Beat Flach (PVL/AG) a pourtant répété que les données génétiques sont par définition sensibles.

La protection des mineurs est quant à elle garantie. Les personnes dont les données seront traitées devront être majeures. Il n’y aura pas d’obligation d’informer les personnes de tous leurs droits. Les responsables du traitement ne pourront pas invoquer des efforts disproportionnés pour ne pas informer. En revanche, les entreprises bénéficieront de règles plus souples pour l’échange de données internes entre elles.

 

D’ici au 20.05.2020

La révision de loi vise à obtenir la reconnaissance par l’UE de l’équivalence en matière de protection des données et à remplir les exigences de la convention 108 du Conseil de l’Europe. La Suisse a jusqu’au 20 mai pour s’aligner sur l’Europe. La loi sera donc au menu de la session spéciale les 4 et 5 mai.

Sans équivalence, les entreprises seront contraintes de prouver au cas par cas qu’elles garantissent la protection des données. Pour éviter cette perspective coûteuse, la loi contient plusieurs dispositions pour se conformer aux standards européens.

Gregor Rutz (UDC/ZH) n’a d’ailleurs pas manqué de regretter une reprise intégrale du RGPD dans le droit suisse. « En voulant strictement protéger les données des citoyens, on s’empêtre dans des contradictions sans fin », a-t-il dit.

La balle retourne dans le camp du Conseil des Etats.

 

 

Communiqué de presse du Parlement du 05.03.2020 consultable ici

 

 

Jurisprudence

6B_1188/2018 (d) du 26.09.2019, destiné à la publication – Condamnation fondée sur les enregistrements d’une dashcam : le recours de la conductrice est admis

Laisser un commentaire

Arrêt du Tribunal fédéral 6B_1188/2018 (d) du 26.09.2019, destiné à la publication

 

Arrêt consultable ici

Communiqué de presse du TF du 10.10.2019 disponible ici

 

Le Tribunal fédéral annule la condamnation d’une conductrice qui avait été reconnue coupable de multiples violations des règles de la circulation routière sur la base des enregistrements de la dashcam d’un autre usager de la route. L’exploitation, comme moyen de preuve, des prises de vue obtenues en violation de la Loi sur la protection des données, n’est pas admissible dès lors que les violations des règles de la circulation routière en question ne constituent pas des infractions graves. Le Tribunal fédéral n’a pas dû trancher la question de savoir si une exploitation des enregistrements à titre de preuve aurait été licite en cas d’infractions graves.

L’intéressée avait été condamnée en 2018 par le Tribunal de district de Bülach à une peine pécuniaire avec sursis ainsi qu’à une amende de 4000 francs pour de multiples violations des règles de la circulation routière, pour partie graves, sur la base des enregistrements de la dashcam d’un autre usager de la route. Le Tribunal cantonal du canton de Zurich a confirmé le jugement.

Le Tribunal fédéral admet le recours de l’intéressée et annule le jugement du Tribunal cantonal. Les enregistrements privés de la dashcam ont été obtenus en violation de la Loi sur la protection des données (LPD), et donc de manière illégale. Puisque la réalisation de prises de vue depuis un véhicule n’est pas aisément reconnaissable pour les autres usagers de la route, il s’agit d’un traitement secret de données au sens de l’article 4 alinéa 4 LPD, constitutif d’une atteinte à la personnalité.

Le Code de procédure pénale (CPP) règle l’exploitabilité des preuves qui ont été obtenues illégalement par les autorités publiques. Le CPP ne règle pas expressément la question de savoir dans quelle mesure cette inexploitabilité s’applique également aux preuves recueillies par une personne privée. Selon la jurisprudence du Tribunal fédéral, les moyens de preuve collectés illégalement par des personnes privées ne peuvent être exploités que lorsque les deux conditions cumulatives suivantes sont remplies : en premier lieu, les moyens de preuve collectés par une personne privée auraient pu être collectés de manière légale par les autorités de poursuite pénales ; en second lieu, une pesée des intérêts doit pencher en faveur de leur exploitation.

En rapport avec les moyens de preuve qui ont été recueillis illégalement par les autorités de poursuite pénales, le CPP procède lui-même à cette pesée des intérêts. Il en découle que de telles preuves ne peuvent être exploitées que lorsqu’elles sont indispensables pour élucider des infractions graves. Il apparaît approprié d’appliquer le même critère aux moyens de preuve obtenus illégalement par des personnes privées puisque, du point de vue de la personne concernée, il est sans importance de savoir qui a collecté les preuves auxquelles elle est confrontée dans le cadre de la procédure pénale.

Dans le cas d’espèce, le Tribunal cantonal a qualifié le comportement de l’automobiliste en partie de violations simples, et en partie de violations graves des règles de la circulation routière. Ces infractions constituent des contraventions et des délits, que la jurisprudence du Tribunal fédéral ne qualifie pas d’infractions graves au sens du CPP. La pesée des intérêts va ainsi à l’encontre d’une exploitabilité des prises de vue en tant que preuves. Dans ces circonstances, la question de savoir si la condition supplémentaire permettant l’exploitabilité des prises de vue en cause était remplie, soit que les enregistrements auraient pu être collectés légalement par les autorités de poursuite pénales, peut rester ouverte.

 

 

Arrêt 6B_1188/2018 consultable ici

 

 

News - Informations

Réforme de la protection des données: fin de l’examen du projet

Laisser un commentaire

Réforme de la protection des données: fin de l’examen du projet

 

Communiqué de presse du Parlement du 16.08.2019 consultable ici

 

La commission des institutions politiques du Conseil national (CIP-CN) a achevé l’examen du projet de révision totale de la loi sur la protection des données (17.059). Lors du vote sur l’ensemble, elle a adopté le projet par 9 voix contre 9 et 7 absentions, avec la voix prépondérante du président.

Le projet de révision totale de la loi sur la protection des données (LPD) vise à mieux protéger les citoyens et à adapter la législation suisse au standard européen. Afin de permettre à la Suisse de mettre en œuvre rapidement une directive européenne liée à Schengen, le Parlement a décidé, en 2018, de scinder le projet et d’adopter en priorité les dispositions nécessaires à la mise en œuvre de cette directive. Ces nouvelles dispositions sont entrées en vigueur le 01.03.2019.

Parallèlement, la discussion du reste de la réforme s’est poursuivie. Ces travaux sont indispensables pour que l’UE continue de reconnaître la Suisse comme un Etat tiers ayant un niveau de protection des données suffisant pour que la possibilité d’échanger des données avec elle soit préservée. La CIP-CN a entamé la discussion par article de la révision totale de la loi sur la protection des données en juin 2018. Elle a notamment pris les décisions suivantes :

 

Mode de nomination du préposé à la protection des données et à la transparence

Par 19 voix contre 5, la commission propose que le préposé soit élu par l’Assemblée fédérale, en lieu et place du système actuel de nomination par le Conseil fédéral avec approbation par l’Assemblée fédérale. Aux yeux de la commission, une élection directe par le Parlement sera mieux à même de garantir l’indépendance du préposé. Une minorité souhaite conserver le système actuel.

 

Droit à la portabilité des données

La commission a introduit un droit à la portabilité des données. Il s’agit de permettre à une personne de récupérer, dans un format standard, les données traitées à son sujet par un prestataire (par exemple un fournisseur de services en ligne), afin de transmettre ces données à un nouveau prestataire vers lequel elle souhaite se tourner. La solution adoptée par la commission permet à la personne concernée d’obtenir, à certaines conditions, la remise ou le transfert gratuits et sous un format électronique de certaines données personnelles qu’elle a communiquées au responsable du traitement. De l’avis de la commission, une telle réglementation est de nature à favoriser la concurrence et à permettre l’émergence de nouveaux modèles d’affaires. Une minorité souhaite que ce droit ne soit pas limité aux données que la personne a communiquées, mais à toutes ses données personnelles.

 

Données sensibles

La commission a apporté quelques modifications à la définition des données sensibles, lesquelles font l’objet d’une protection particulière. Elle a notamment retiré de la liste des données sensibles les données sur les mesures d’aide sociale, au motif qu’il peut être dans l’intérêt de partenaires contractuels, de fournisseurs, voire dans l’intérêt public de savoir si une personne perçoit des prestations de l’aide sociale. Une minorité s’oppose à cette suppression. La commission a également retiré de la liste les données sur les activités syndicales. Elle a en revanche confirmé l’introduction dans cette liste des données génétiques.

 

Entreprises étrangères

La commission a décidé que les entreprises étrangères qui fournissent des prestations en Suisse seront tenues de respecter le droit suisse de la protection des données. Ces entreprises devront en outre désigner un représentant en Suisse.

 

Données des personnes décédées

Contrairement à ce que propose le Conseil fédéral, la commission a décidé, par 14 voix contre 8 et 1 abstention, de ne pas prévoir de réglementation particulière concernant la gestion des données de personnes décédées. Il existe en effet déjà des possibilités permettant de résoudre les problèmes qui se posent dans ce contexte. Une minorité estime au contraire qu’une réglementation spécifique est nécessaire, notamment concernant la mort numérique.

 

Durcissement des sanctions pénales

Par 16 voix contre 4 et 2 abstentions, la commission a approuvé le système de sanctions proposé par le Conseil fédéral. Ce système prévoit uniquement des sanctions pénales, à l’exclusion de sanctions administratives, principalement pour des raisons de simplicité dans l’application du droit. Cela signifie qu’en cas d’infraction à la loi sur la protection des données, seules les personnes physiques, en particulier les personnes exerçant une fonction dirigeante au sein de l’entreprise, pourront être sanctionnées. Les personnes morales ne pourront l’être que dans des cas de figure bien déterminés et relativement restreints. La commission propose cependant d’examiner l’introduction en droit suisse d’un régime général de sanctions administratives pécuniaires. Elle a adopté un postulat 18.4100 dans ce sens chargeant le Conseil fédéral d’examiner les solutions envisageables. Concernant le montant des amendes, la commission a décidé d’en rester au montant maximal proposé par le Conseil fédéral, soit 250’000 francs, qu’elle juge proportionné et suffisamment dissuasif. Deux minorités proposent des montants plus élevés.

 

Les entreprises auront deux ans pour s’adapter

Par 13 voix contre 11, la commission a décidé que la nouvelle loi n’entrerait en vigueur qu’à l’échéance d’un délai de deux ans à compter de la fin du délai référendaire ou de la date d’une éventuelle votation populaire, afin de donner aux entreprises le temps de procéder aux adaptations nécessaires. Une minorité propose que le Conseil fédéral fixe l’entrée en vigueur en tenant compte notamment des besoins de l’économie privée.

Deux propositions de minorité ont été déposées demandant le renvoi du projet, avec diverses propositions d’adaptation.

 

La commission a en outre déposé plusieurs motions chargeant le Conseil fédéral de compléter les dispositions de protection des données figurant dans d’autres lois fédérales (19.3960, 19.3961, 19.3962, 19.3963, 19.3964, 19.3965).

La commission a siégé les 15.08.2019 et 16.08.2019 à Berne, sous la présidence du conseiller national Kurt Fluri (PLR/SO).

 

 

Communiqué de presse du Parlement du 16.08.2019 consultable ici

 

 

 

Assurance-maladie LAMal, Assurances privées LCA, News - Informations

Le Préposé fédéral à la protection des données a émis une recommandation concernant le programme de bonus « Helsana+ »

Laisser un commentaire

Le Préposé fédéral à la protection des données a émis une recommandation concernant le programme de bonus « Helsana+ »

 

Communiqué de presse du Préposé fédéral à la protection des données et à la transparence du 27.04.2018 consultable ici : https://bit.ly/2KqI5Pw

 

L’application «Helsana+» traite les données des clients qui ne disposent que de l’assurance de base auprès du groupe Helsana à des fins de remboursement partiel de leurs primes. Faute de base légale, le Préposé a recommandé de cesser ce traitement.

Le 11.10.2017, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert une procédure d’établissement des faits contre la société Helsana Assurances complémentaires SA en vertu de la loi fédérale sur la protection des données concernant le programme de bonus «Helsana+», lancé le 25.09.2017. Ce programme vise à inciter les participants à adopter un mode de vie sain et sportif : en téléchargeant l’application «Helsana+» sur leur téléphone mobile, les clients d’Helsana peuvent ainsi récolter des « points Plus » pour toute une série d’activités et les échanger contre des versements en espèces et des offres de partenaires.

 

Pas de flux de données issues de l’assurance de base lors de l’enregistrement

En s’enregistrant sur l’application Helsana+, les assurés d’Helsana Assurances complémentaires SA donnent leur accord à ce qu’on vérifie qu’ils sont assurés auprès du groupe Helsana pour l’assurance de base. Faute de base légale, la récolte de ces données relatives à l’assurance de base par l’assurance complémentaire et leur traitement subséquent par l’assurance complémentaire sont illégaux du point de vue de la protection des données et le consentement recueilli par l’application n’a aucun effet juridique. Le PFPDT recommande donc à Helsana Assurances complémentaires SA de mettre un terme à ce traitement de données de l’assurance de base. Il se félicite qu’Helsana ait annoncé qu’elle allait suivre sa recommandation, même si elle conteste toute obligation légale, en adaptant volontairement le processus d’enregistrement, du moins jusqu’à ce que les tribunaux rendent une décision et que celle-ci soit entrée en force.

 

Pas de traitement de données visant à obtenir des remboursements de primes

Les points récoltés grâce au programme de bonus peuvent être convertis en avantages pécuniaires, sous la forme de versements en espèces ou de rabais auprès d’entreprises partenaires d’Helsana. Tant les personnes disposant d’une assurance complémentaire auprès d’Helsana que celles qui n’ont conclu que l’assurance de base avec elle ont cette possibilité. Pour ces dernières, les versements en espèces sont plafonnés à 75 francs par an. Faute de base légale, cette prestation s’avère illégale étant donné qu’elle revient à rembourser une partie des primes de l’assurance de base. Le PFPDT recommande donc à Helsana Assurances complémentaires SA de mettre un terme au traitement de données visant à calculer et à effectuer des remboursements sous forme pécuniaire pour les clients qui ne disposent que de l’assurance de base auprès d’Helsana.

Helsana Assurances complémentaires SA a 30 jours pour communiquer au PFPDT si elle accepte ou refuse cette recommandation. En cas de refus ou de non-observation de la recommandation, le PFPDT peut porter l’affaire devant le Tribunal administratif fédéral.

 

 

Communiqué de presse du 27.04.2018 consultable ici : https://bit.ly/2KqI5Pw

 

 

News - Informations

Législation sur la protection des données : révision en deux étapes

Laisser un commentaire

Législation sur la protection des données : révision en deux étapes

 

Communiqué de presse du Parlement du 12.01.2018 consultable ici : http://bit.ly/2r8gmxd

 

La Commission des institutions politiques du Conseil national reconnaît la nécessité d’adapter la protection des données aux évolutions technologiques et sociétales, comme le propose le Conseil fédéral. Elle souhaite cependant échelonner la révision prévue : dans un premier temps, il faudra opérer les adaptations au droit européen qui s’imposent, avant de procéder, dans un deuxième temps, à la révision totale de la loi sur la protection des données.

La Commission des institutions politiques du Conseil national reconnaît la nécessité d’adapter la protection des données aux évolutions technologiques et sociétales, comme le propose le Conseil fédéral. Elle souhaite cependant échelonner la révision prévue : dans un premier temps, il faudra opérer les adaptations au droit européen qui s’imposent, avant de procéder, dans un deuxième temps, à la révision totale de la loi sur la protection des données.

La Commission des institutions politiques du Conseil national (CIP-N) est entrée en matière sans opposition sur le projet du Conseil fédéral concernant la révision totale de la loi sur la protection des données et la modification d’autres lois fédérales pertinentes (17.059). Parallèlement, elle a adopté, par 14 voix contre 8 et 2 abstentions, une motion d’ordre demandant la scission du projet.

Cette mesure permettra à la commission d’examiner tout d’abord la mise en œuvre du droit européen (directive 2016/680 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel dans le domaine du droit pénal) qui, en vertu des accords de Schengen, doit avoir lieu dans un délai donné. La CIP-N pourra ensuite s’atteler à l’examen de la révision totale de la loi sur la protection des données sans être contrainte par le temps; une telle procédure paraît judicieuse compte tenu de la grande complexité du sujet. Une minorité de la commission s’oppose à la scission du projet, considérant que deux révisions de la loi sur la protection des données se suivant à peu d’intervalle entraîneraient un surcroît de travail et une insécurité juridique pour les acteurs concernés.

La commission a siégé le 11 janvier 2018 à Berne, sous la présidence du conseiller national Kurt Fluri (RL/SO).

 

 

Communiqué de presse du Parlement du 12.01.2018 consultable ici : http://bit.ly/2r8gmxd

Objet du Conseil fédéral 17.059 « Loi sur la protection des données. Révision totale et modification d’autres lois fédérales » consultable ici : http://bit.ly/2B1nVWj

 

 

News - Informations

Projet de révision totale de la loi sur la protection des données (LPD) : une meilleure protection des données et un renforcement de l’économie suisse

Laisser un commentaire

Projet de révision totale de la loi sur la protection des données (LPD) : une meilleure protection des données et un renforcement de l’économie suisse

 

Communiqué de presse du Conseil fédéral du 15.09.2017 consultable ici : http://bit.ly/2fhkxBQ

 

Face à la révolution numérique, le Conseil fédéral juge nécessaire d’adapter la protection des données et de renforcer les droits des citoyens. Il entend en outre harmoniser le droit suisse en la matière avec les standards de protection de l’UE et du Conseil de l’Europe. Il s’agit d’assurer la libre transmission des données entre les entreprises suisses et européennes, en réponse aux vœux de l’économie. Le Conseil fédéral a adopté un message en ce sens lors de sa séance du 15.09.2017.

 

Le Conseil fédéral a adopté un projet de révision totale de la loi sur la protection des données (LPD) qui permettra de mieux protéger les citoyens. Ces derniers seront mieux renseignés sur les traitements par des entreprises des données qui les concernent et acquerront une plus grande maîtrise de ces données. La révision est également un pas important pour l’économie suisse. En adaptant la législation suisse au standard européen, le Conseil fédéral crée les conditions requises pour assurer la transmission sans obstacles de données entre la Suisse et les États de l’UE.

Afin de rester pratiques pour l’économie, les nouvelles dispositions légales ne vont pas plus loin que ce qui est exigé par le droit européen. Il n’y aura pas de « plus » suisse. Le Conseil fédéral tient ainsi compte des remarques reçues lors de la consultation externe.

 

Plus de transparence pour les particuliers

La révision apporte aux particuliers une meilleure protection. Ils devront désormais être informés lorsqu’une entreprise collecte des données à leur sujet, quel que soit le type de données collectées. En outre, les entreprises seront tenues de prendre en considération les enjeux de protection des données dès la mise en place de nouveaux traitements. Le projet de loi encourage par ailleurs l’auto-règlementation : chaque branche aura la possibilité d’adopter un code de conduite.

 

Renforcement de l’indépendance du préposé

Le projet de loi renforce le statut et l’indépendance du Préposé fédéral à la protection des données et à la transparence (PFPDT). Alors qu’il ne peut aujourd’hui émettre que des recommandations aux entreprises, il pourra à l’avenir ordonner des mesures provisionnelles et prendre des décisions contraignantes, au terme d’une enquête ouverte d’office ou sur dénonciation. Il ne pourra toutefois pas décréter de sanction administrative. Seuls les tribunaux auront cette prérogative.

En parallèle, la liste des comportements punissables s’allonge en même temps que celle des obligations des responsables du traitement. De plus, le montant maximal des amendes est porté à 250 000 francs. La liste des infractions et le montant maximal de l’amende ont été réduits par rapport à l’avant-projet, suite aux critiques exprimées lors de la consultation, et la négligence n’est plus punissable.

 

Avantages pour l’économie suisse

La révision de la loi tient compte des récents développements des textes de l’UE et du Conseil de l’Europe. Le projet reprend les exigences de la directive européenne 2016/680 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel à des fins pénales. En effet, il importe que la Suisse puisse remplir ses engagements au titre des accords Schengen. Il s’agit en outre d’harmoniser le droit suisse avec le règlement européen 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Enfin, la révision vise à permettre à la Suisse de signer aussi tôt que possible la nouvelle version de la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel.

L’adaptation au droit européen est nécessaire pour que la Commission européenne reconnaisse la Suisse comme État tiers offrant un niveau de protection des données adéquat. Telle est la condition pour que les échanges de données transfrontières restent possibles, chose extrêmement importante pour l’économie suisse. Un standard élevé de protection, reconnu sur le plan international, est également propice au développement des nouveaux secteurs économiques dans le domaine de la société numérique.

 

 

Communiqué de presse du Conseil fédéral du 15.09.2017 consultable ici : http://bit.ly/2fhkxBQ

Rapport de l’Office fédéral de la justice (OFJ), « Synthèse des résultats de la procédure de consultation », du 10.08.2017 : http://bit.ly/2jFCWKb

Message du Conseil fédéral concernant la loi fédérale sur la révision totale de la LPD et sur la modification d’autres lois fédérales du 15.09.2017 : http://bit.ly/2xikQTj

Loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d’autres lois fédérales (projet) : http://bit.ly/2yloOca

Arrêté fédéral (projet) portant approbation de l’échange de notes entre la Suisse et l’Union européenne concernant la reprise de la directive (UE) 2016/680 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales (Développement de l’acquis de Schengen) : http://bit.ly/2wD9qFV

 

 

Jurisprudence

Protection des données : Moneyhouse SA doit adapter sa pratique de traitement des données

Laisser un commentaire

Arrêt du Tribunal administratif fédéral A-4232/2015 (d) du 18.04.2017

 

Arrêt A-4232/2015 consultable ici : http://bit.ly/2pEsm4I

Communiqué de presse du TAF consultable ici : http://bit.ly/2qaReSw

 

Le Tribunal administratif fédéral approuve en grande partie la plainte déposée par le préposé fédéral à la protection des données contre le traitement des données tel que pratiqué par Moneyhouse SA. Il constate en particulier que des profils de personnalité sont créés ou traités sur le site www.moneyhouse.ch dans la mesure où des informations concernant la réputation, la situation familiale, la formation et l’activité professionnelle ainsi que les conditions de logement de particuliers y sont fournies. Moneyhouse SA est par conséquent contrainte d’obtenir l’accord express des personnes concernées avant de publier ce type de données.

 

Moneyhouse SA récolte des données sous forme électronique de diverses sources privées, des offices de poursuite, de la version internet de la Feuille officielle suisse du commerce ainsi que des moteurs de recherche en ligne tels que Google ou Local.ch. Elle utilise ces données pour offrir diverses prestations, notamment la recherche d’entreprises et de particuliers ainsi qu’un portail d’emplois. Toutes ces données personnelles sont publiées sur le site www.monyehouse.ch. Le service est gratuit pour le public moyennant un enregistrement préalable. Mais il est aussi possible de devenir membre « premium » et, contre rémunération, de souscrire ainsi à des abonnements donnant accès à des informations sur la solvabilité et la moralité de paiement ou encore à des renseignements détaillés sur des cas de défauts de paiement, des actes de poursuite, le registre foncier et la situation économique et fiscale ; ces abonnés bénéficient en outre de services relatifs à des portraits d’entreprises. En justifiant d’un intérêt particulier à consulter des données, il est possible de profiter d’offres supplémentaires et d’accéder à des données concernant des personnes physiques non enregistrées au registre du commerce ou dans un annuaire téléphonique électronique.

Plusieurs particuliers ne figurant pas au registre du commerce se sont adressés au préposé fédéral à la protection des données (PFPDT), se plaignant de la publication de données les concernant qui à leur avis vont au-delà de renseignements concernant la solvabilité.

Le Tribunal administratif fédéral (TAF) confirme aujourd’hui la recommandation du PFPDT qui se réfère aux abonnements payants « premium ». Il constate que, dans ce cadre, Moneyhouse SA établit un portrait biographique des personnes en donnant, outre le nom, le prénom et la date de naissance, également des indications sur la vie et le domicile par le biais de données concernant les membres du ménage et les voisins. Ce constat se trouve encore appuyé par le fait que sont aussi publiées des données concernant les anciens lieux de domicile et les activités professionnelles. Les membres « premium » peuvent ainsi assez facilement établir un profil de personnalité des personnes recherchées ou continuer à travailler ledit profil. Mais cette possibilité contredit toutefois les intérêts des personnes concernées en respect du droit de la personnalité, lequel prime sur les intérêts lucratifs de Moneyhouse SA. Aussi le traitement de ces données concernant des personnes ne figurant pas au registre du commerce requiert-il impérativement leur accord express.

Par ailleurs, le TAF constate certes que Moneyhouse SA n’a pas forcément d’influence sur l’indexation des résultats des moteurs de recherche qu’elle présente sur sa plateforme. Cela étant, il oblige néanmoins l’agence à vérifier l’exactitude des données publiées dans 5% des requêtes soumises sur son site. Les demandes de renseignement qu’elle ne peut satisfaire doivent être transmises immédiatement et sans frais à ses partenaires contractuels compétents. De plus, elle doit vérifier à intervalles réguliers et dans une proportion de 3% si les requêtes concernant la solvabilité soumises sur son site se basent sur une justification d’intérêts effective et correcte.

L’arrêt est susceptible de recours au Tribunal fédéral.

 

 

Arrêt A-4232/2015 consultable ici : http://bit.ly/2pEsm4I