La LPD Suisse et les Décisions Individuelles Automatisées : guide complet

Vous êtes-vous déjà demandé comment certaines décisions, qui ont un impact direct sur votre vie, sont prises ?

Dans notre ère numérique, de nombreuses décisions sont prises par des algorithmes, sans intervention humaine.

Imaginez qu’un logiciel décide de votre éligibilité à un prêt bancaire, sans qu’aucun être humain ne vérifie la décision.

Cela vous semble-t-il juste ?

Cette réalité peut sembler effrayante. Après tout, les machines ne sont-elles pas censées nous faciliter la vie plutôt que de la contrôler ?

Qu’arrive-t-il si une erreur se glisse dans le processus automatisé ?

Ou si vous voulez contester une décision qui vous semble injuste ? C’est ici que la LPD Suisse entre en jeu.

La LPD Suisse a introduit l’Article 21, qui se penche précisément sur cette question. Mais que dit vraiment cet article ? Décortiquons-le ensemble.

---

Comprendre la règle

Art. 21 Devoir d’informer en cas de décision individuelle automatisée
1 Le responsable du traitement informe la personne concernée de toute décision qui est prise exclusivement sur la base d’un traitement de données personnelles automatisé et qui a des effets juridiques pour elle ou l’affecte de manière significative (décision individuelle automatisée).

LPD

1. Tout d’abord, si une décision est prise à votre sujet uniquement sur la base d’un traitement automatisé et qu’elle a des conséquences juridiques ou vous affecte de manière significative, le responsable de ce traitement doit vous en informer. En d’autres termes, si un algorithme décide quelque chose qui vous concerne, vous avez le droit de le savoir.

2. Mais que faire si vous n’êtes pas d’accord avec cette décision ? La LPD vous donne le droit de faire entendre votre voix. Vous pouvez demander à ce qu’une personne réelle examine la décision. C’est un peu comme demander un second avis médical, n’est-ce pas ?

² Si la personne concernée le demande, le responsable du traitement lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la décision individuelle automatisée soit revue par une personne physique.

³ Les al. 1 et 2 ne s’appliquent pas dans les cas suivants:a.la décision individuelle automatisée est en relation directe avec la conclusion ou l’exécution d’un contrat entre le responsable du traitement et la personne concernée et la demande de cette dernière est satisfaite;b.la personne concernée a expressément consenti à ce que la décision soit prise de manière automatisée.

3. Cependant, il y a des exceptions. Si la décision automatisée est liée à un contrat que vous avez conclu ou si vous avez donné votre consentement explicite pour une telle décision, alors les règles changent. C’est un peu comme accepter les termes et conditions sans les lire, puis se demander pourquoi certaines choses se passent comme elles le font.

⁴ Si la décision individuelle automatisée émane d’un organe fédéral, ce dernier doit la qualifier comme telle. L’al. 2 ne s’applique pas lorsque la personne concernée ne doit pas être entendue avant la décision conformément à l’art. 30, al. 2, de la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA) ou en vertu d’une autre loi fédérale.

4. Et si cette décision provient d’un organe fédéral ? Ils doivent clairement indiquer que la décision a été prise de manière automatisée. Mais attention, dans certains cas, vous ne pourrez pas contester cette décision.

Comment mettre en place ce droit

1. Comprendre le cadre juridique : Avant toute chose, familiarisez-vous avec l’Article 21 de la LPD et ses implications. Cela vous permettra de comprendre les exigences et les exceptions.

2. Évaluation des processus actuels : Examinez vos systèmes actuels pour identifier où et comment les décisions automatisées sont prises. Cela pourrait inclure des algorithmes d’analyse de crédit, des systèmes de recommandation, etc.

3. Transparence avant tout :

• Informez clairement les utilisateurs lorsque vous utilisez un traitement automatisé pour prendre des décisions qui peuvent les affecter.
• Assurez-vous que cette information est facilement accessible, compréhensible et présentée dans un langage clair.

4. Mise en place d’un mécanisme de contestation :

• Offrez aux utilisateurs la possibilité de contester une décision automatisée.
• Mettez en place un processus où une personne physique peut revoir la décision contestée.
• Assurez-vous que ce processus est rapide, efficace et facilement accessible.

5. Formation et sensibilisation :

• Formez votre équipe sur les implications de l’Article 21 et sur la manière de traiter les demandes des utilisateurs.
• Sensibilisez les développeurs et les équipes techniques à l’importance de la transparence et de l’éthique dans la conception des algorithmes.

6. Revue et mise à jour des contrats : Si vous travaillez avec des tiers (par exemple, des fournisseurs de logiciels), assurez-vous que vos contrats reflètent les exigences de l’Article 21.

7. Documentation :

• Documentez toutes les décisions automatisées, les algorithmes utilisés, et les raisons pour lesquelles ils ont été choisis.
• Conservez une trace des demandes des utilisateurs et de la manière dont elles ont été traitées.

8. Tests et audits réguliers :

• Effectuez des tests réguliers pour vous assurer que vos systèmes fonctionnent comme prévu.
• Envisagez de réaliser des audits externes pour garantir la conformité et l’efficacité de vos processus.

9. Mise à jour continue : La technologie et la législation évoluent rapidement. Assurez-vous de rester informé des dernières évolutions et de mettre à jour vos processus en conséquence.