Le SAN vaudois revend nos données à des tiers [Actualisé]

Mise à jour du 7 novembre 2012

Le Conseil d’Etat vaudois a décidé de mettre fin à cette pratique qui, selon lui, était légale.

Article original du 9 octobre 2012

La nouvelle est tombée ce matin. Le Service des automobiles et de la navigation du Canton de Vaud (SAN) revend à des tiers privés certaines données que nous, citoyens vaudois, avons dû leur fournir afin d’obtenir le droit de circuler ou naviguer.

Selon les informations de la presse, dans ces données se trouvent en principe :

• la marque, le type voire la cylindrée de la voiture,
• le nom, le prénom, l’adresse, l’année de naissance, l’état civil, la nationalité, l’origine et la profession de la personne concernée ainsi que les autres personnes vivant dans le même ménage.

Le SAN vante la légalité de la manoeuvre. Pourtant, il se fourre le doigt dans l’oeil jusqu’au coude.

Comme je l’écrivais ici concernant les adresses IP sur Internet, le principe de finalité exprimé à l’art. 4 al. 3 de la loi fédérale sur la protection des données (LPD) exige que les données récoltées doivent être utilisées en conformité avec le but annoncé au moment de la collecte. La LPD n’oblige pas l’auteur du traitement à informer sur ce but, il suffit qu’il soit reconnaissable.

Il faut aussi que le traitement de données en question reçoive l’aval de la personne concernée sous la forme d’un consentement libre et éclairé (art. 4 al. 5 LPD) ? Si ce consentement peut être tacite, le SAN ne peut raisonnablement pas soutenir qu’une personne qui fournit (de bonne foi et en raison d’une obligation légale) ses données à un service de l’État afin de bénéficier du droit de conduire consent tacitement à ce qu’elles soient utilisées à des fins marketing.

De plus, les données personnelles d’autres personnes vivant dans le même ménage que la personne concernée ont aussi été transmises. Sans leur demander leur avis, et encore moins leur consentement.

Le préposé vaudois à la protection des données admet examiner cette pratique “depuis quelques mois” et qu’il y a “des clarifications à établir”. Si ce dernier point ne fait aucun doute, on peut se demander pourquoi il n’a pas pris des mesures plus tôt.

La loi vaudoise sur la protection des données personnelles (LPrD) – qui s’applique essentiellement aux organes de l’État de Vaud, comme le Grand Conseil, le Conseil d’État, l’administration, l’Ordre judiciaire, etc. (art. 3 al. 2 LPrD) – stipule que les données ne doivent être traitées que dans le but indiqué lors de leur collecte, tel qu’il ressort de la loi ou de l’accomplissement de la tâche publique concernée (art. 6 LPrD). L’existence de la base légale pour la collecte des données ne fait pas de doute, mais elle fait défaut pour leur transmission à des tiers privés. Quant à l’accomplissement d’une tâche publique, il est évident que la transmission de données personnelles à un tiers privé à des fins marketing ne constitue pas une tâche publique.

Partant, conformément à l’art. 38 LPrD, le préposé vaudois aurait dû demander au responsable du traitement de restreindre ou cesser immédiatement, de manière temporaire au moins, le traitement de données personnelles, le temps de déterminer si la communication des données est licite ou non. Au lieu de cela, une certaine passivité. Typiquement suisse, j’ai envie de dire.

Cette pratique est absolument choquante, surtout provenant d’un service de l’État, et devrait être dénoncée et condamnée avec fermeté.

Ci dessous, un ajout demandé dans les commentaires

Pour contacter le préposé vaudois à la protection des données, cliquez ici.

Pour demander au SAN de ne plus communiquer vos données à des tiers, remplissez ce formulaire et envoyez-le en recommandé à

Service des Automobiles et de la Navigation

Av. du Grey 110

1014 Lausanne

Pour demander l’accès et l’effacement de vos données à la société privée à qui vos données ont été communiquées par le SAN, voici des modèles de lettre à envoyer en recommandé à

BVA

Chemin Maillefer 41

1052 Le Mont-sur-Lausanne