Surveillance de la protection des données en Suisse : compétences du PFPDT et des autorités cantonales

Deux niveaux, deux surveillances : comment la protection des données est contrôlée en Suisse

La surveillance de la protection des données en Suisse est bipartite. Au niveau fédéral, le Préposé fédéral à la protection des données et à la transparence (PFPDT) agit en tant qu'autorité indépendante ; pour les organes publics des cantons, il existe des autorités de contrôle propres.

La compétence ne dépend pas du thème, mais de l'entité agissante : d'un côté les organes fédéraux et les entreprises privées, de l'autre les organes publics cantonaux. Chaque niveau s'appuie sur ses propres bases légales – au niveau fédéral la Loi sur la protection des données (LPD), dans les cantons les lois sur l'information et la protection des données (LIPD), comme celle du canton de Zurich ou du canton de Bâle-Ville.

Le PFPDT : surveillance des organes fédéraux et des entreprises privées

Le PFPDT est une autorité indépendante chargée de la protection des données et du principe de transparence. En tant qu'autorité de surveillance en matière de protection des données, il protège le droit de chaque personne à la sphère privée et veille à ce que les organes fédéraux et les entreprises privées n'effectuent pas de traitements illicites de données personnelles.

Il enquête sur les violations des dispositions en matière de protection des données et ordonne, si nécessaire, des mesures administratives pour les faire respecter. Les responsables – privés comme publics – doivent établir une analyse d'impact relative à la protection des données si un traitement de données personnelles présente un risque potentiellement élevé pour la personnalité ou les droits fondamentaux des personnes concernées.

Le second pilier est le principe de transparence : le PFPDT sert d'autorité de conciliation pour l'accès aux documents officiels. Si une autorité fédérale refuse l'accès selon la Loi sur la transparence, il assure la médiation sur demande entre les particuliers et l'autorité ; si aucun accord n'est trouvé, il émet des recommandations.

Il présente chaque année un rapport à l'Assemblée fédérale (rapport d'activité du PFPDT). La hotline pour les questions relatives à la protection des données est joignable du lundi au vendredi entre 10 h et 11 h 30 au 058 462 43 95 ; alternativement, le formulaire de contact est disponible. Siège : Feldeggweg 1, 3003 Berne.

Préposés cantonaux à la protection des données : une surveillance indépendante avec sa propre loi

Les autorités cantonales sont des organes de contrôle indépendants. Leur profil de tâches ressemble à celui du PFPDT, mais il est axé sur les organes publics de leur propre canton.

Dr Dominika Blonski, préposée à la protection des données du canton de Zurich, cite comme tâche centrale la protection des données personnelles et donc de la sphère privée des habitantes et habitants du canton. Son service soutient les organes publics dans la mise en œuvre de la protection des données et de la sécurité de l'information, met à disposition des directives et des modèles, et propose aux communes et aux villes un format de formation sur la protection des données et la sécurité de l'information.

Pour la population, elle fournit des conseils pratiques, des listes de contrôle ainsi que des lettres types pour faire valoir leurs propres droits.

Pour Bâle-Ville, la préposée à la protection des données Danielle Kaufmann décrit le profil ainsi : le service assume des tâches dans le domaine du droit de la protection des données et du principe de transparence, avec pour objectif de protéger les droits fondamentaux des personnes dans le canton de Bâle-Ville.

Elle conseille les organes publics sur la manipulation licite des informations ainsi que les particuliers sur leurs droits, prend position sur les traitements de données pertinents et les projets législatifs, et contrôle le respect des dispositions légales applicables. Le principe de transparence fait également partie du domaine de compétences cantonal.

La base légale est la LIPD cantonale. Dans le canton de Zurich, une nouvelle LIPD est sur le point d'entrer en vigueur ; le commentaire pratique de la LIPD paraîtra en 2027 à temps sous forme d'accès ouvert gratuit, et la préposée à la protection des données explique les règles en vigueur de manière concise (« LIPD en bref »).

À Bâle-Ville, la LIPD révisée est déjà en vigueur et a entraîné de nouvelles exigences qui, combinées à la numérisation croissante de l'administration et à l'utilisation accrue d'applications d'intelligence artificielle, contribuent à la charge de travail élevée de l'autorité de surveillance.

Le rapport d'activité constitue un vecteur d'information récurrent – Zurich a publié le rapport d'activité 2025, Bâle-Ville les rapports 2024 et 2025.

Qui est compétent ? Délimitation entre Confédération, cantons et secteur privé

Trois configurations typiques : Si une requête vise un organe fédéral, le PFPDT est compétent. Si elle concerne une autorité administrative cantonale, le préposé à la protection des données du canton concerné est l'interlocuteur approprié ; sa surveillance s'étend aux organes publics de son propre canton. S'il s'agit d'une entreprise privée, le droit fédéral s'applique et donc la compétence du PFPDT.

Pour choisir le point de contact, trois questions doivent être clarifiées : Qui a traité les données – un organe fédéral, un organe public cantonal ou une entreprise privée ? Dans quel canton l'organe public est-il actif ? Et s'agit-il de protection des données ou d'accès aux documents officiels ?

Pour l'accès aux documents, il faut distinguer le niveau : au niveau fédéral, le PFPDT est l'autorité de conciliation selon la Loi sur la transparence ; à Bâle-Ville, le préposé à la protection des données assume également des tâches liées au principe de transparence. Les particuliers peuvent se faire conseiller par les autorités cantonales sur leurs droits – mais la surveillance des entreprises privées relève du PFPDT.

PFPDT et préposés cantonaux à la protection des données : comparaison des compétences

Déterminer l'autorité de surveillance compétente en matière de protection des données : trois questions

Priorités actuelles : IA, externalisation dans le cloud et obligations de notification

Intelligence artificielle : Le PFPDT souligne que la Loi suisse sur la protection des données (LPD) est directement applicable aux traitements de données assistés par l'IA ; l'IA imprègne également en Suisse, dans une mesure rapidement croissante, la vie de la population.

L'expérience de l'autorité de surveillance bâloise va dans le même sens : l'utilisation croissante d'applications d'intelligence artificielle figure parmi les raisons de l'augmentation de la charge de travail.

Cloud et transmission à l'étranger : Privatim, la Conférence des préposés suisses à la protection des données, met en garde avec insistance contre l'externalisation de données personnelles particulièrement sensibles vers des solutions cloud internationales.

Le PFPDT traite la communication de données personnelles à l'étranger, soumise à des règles particulières, ainsi que le traitement des données sur mandat (outsourcing) comme des thèmes distincts.

Numérisation de l'administration : La préposée zurichoise à la protection des données décrit un nouveau sujet pour les communes et les villes – le traitement numérique du courrier entrant.

De nombreuses communes et villes prévoient d'ouvrir, scanner et distribuer automatiquement le courrier entrant de manière centralisée, afin qu'il puisse ensuite être traité plus avant dans les systèmes de gestion administrative et les applications spécialisées des unités administratives.

Instruments et obligations de notification : Lorsqu'il existe un risque potentiellement élevé, la LPD exige une analyse d'impact relative à la protection des données.

À Bâle-Ville, un nouveau formulaire doit simplifier l'analyse d'impact pour les initiatives et projets ainsi que la consultation préalable qui s'ensuit pour toutes les parties impliquées, en interrogeant de manière ciblée les informations nécessaires à l'autorité de surveillance pour son évaluation.

La fiche d'information sur la notification des violations de la protection des données y a également été complétée : elle précise à partir de quel seuil de risque les violations de la protection des données doivent être signalées au préposé à la protection des données et dans quels cas les personnes concernées doivent être informées. Lors de la conférence Privatim, les préposés suisses à la protection des données regroupent leurs positions communes.

Renseignement, plainte, conseil : trouver le point de contact approprié

Les personnes concernées peuvent s'appuyer sur le droit à l'autodétermination informationnelle et exiger des renseignements sur le traitement de leurs données personnelles. L'obligation d'informer sert un traitement transparent des données et renforce les droits des personnes concernées : sans information, une personne ne remarque peut-être pas que ses données sont traitées et ne peut pas faire valoir ses droits selon la LPD.

Le volet cantonal met à disposition des outils à cet effet – la préposée zurichoise à la protection des données propose des informations et des lettres types concernant le droit d'accès et le blocage de l'accès à ses propres données, ainsi que des listes de contrôle et des conseils pour la protection des informations personnelles.

Selon les circonstances, différents chemins mènent au but. Les particuliers obtiennent auprès des préposés cantonaux des conseils sur leurs droits ; pour signaler une violation de la protection des données, l'autorité de surveillance compétente est le point de contact approprié.