14. Qu’est-il entendu par données personnelles sensibles ou profil de personnalité au sens de la LIPAD ?

Selon l’article 4 (let b et c), la loi définit comme suit ces notions :

1. Données personnelles sensibles : « données personnelles sur les opinions ou activités religieuses, philosophiques, politiques ou syndicales, la santé, la sphère intime ou l’appartenance ethnique, les mesures d’aide sociale, les poursuites ou sanctions pénales ou administratives. ».

Ainsi, si vous demandez par exemple à une mère de quelle maladie souffre son enfant, alors vous traitez (collectez) des données personnelles sensibles. En d’autres termes, si vous collectez le(s) diagnostic(s) (dyslexie, autisme, diabète…) d’une personne (adulte ou mineure) alors vous traitez (collectez) des données personnelles sensibles.

Voici un autre exemple, si dans le cadre d’une recherche vous interrogez les personnes sur ses pratiques religieuses, là aussi, au sens de la LIPAD, vous traitez (collectez) des données personnelles sensibles.

Conséquence : Une demande d’autorisation auprès du Conseil d’Etat est nécessaire (voir FAQ 15).

 

2. Profil de personnalité : « assemblage de données qui permet d’apprécier les caractéristiques essentielles de la personne physique.».

Cette notion reste vague et peu opérationnelle. Nous avons cherché à clarifier cette définition auprès du DPO qui nous a transmis la définition de cette notion dans la nouvelle Loi fédérale sur la Protection des Données (LPD – article 5, lettres f et g, en date du 7 juin 2022 ce texte n’est pas encore en vigueur) :

• « f) profilage :  toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ;
• g) profilage à risque élevé : tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu’il conduit à un appariement de données qui permet d’apprécier les caractéristiques essentielles de la personnalité d’une personne physique ; »

Pour les recherches, la CUREG considère qu’un projet de recherche traite un profil de personnalité lorsque sont utilisés des outils (quantitatifs ou qualitatifs) basés sur les approches scientifiques des traits de personnalité, et qui permettent de décrire la personne interrogée sur plusieurs dimensions fondamentales de sa personnalité (par ex. profil sur les cinq dimensions du «big five»). Dans ce cas, la CUREG invitera le/la responsable à contacter le DPO afin de vérifier auprès de lui si les démarches auprès du Conseil d’Etat sont nécessaires (voir FAQ 15). Sont exclues les mesures portant sur des attitudes envers soi (par ex. estime de soi), des valeurs (par ex. solidarité) ou des mesures de dimensions uniques de personnalité (par ex. extraversion).