Quelles données un formulaire d’inscription collecte vraiment

Une école de musique de Sion met son inscription semestrielle en ligne. Le formulaire est vite assemblé : prénom, nom, courriel, téléphone, adresse, date de naissance de l’enfant, instrument, une case pour les remarques, une case à cocher pour les conditions. Neuf champs, une demi-heure de travail.

Ce qui figure ensuite dans le tableau, c’est plus que neuf indications. Une partie n’a jamais été demandée, une partie relève d’une catégorie que la loi fédérale sur la protection des données (LPD) traite à part — et un champ recueille ce que personne n’avait prévu.

Champ par champ

Selon l’art. 5 let. a LPD, les données personnelles sont « toutes les informations concernant une personne physique identifiée ou identifiable ». C’est plus large qu’il n’y paraît au quotidien : il suffit qu’une personne puisse être identifiée, pas que son nom figure quelque part.

Champ	Ce qui y arrive réellement	Ce qui s’y rattache
Prénom, nom	L’identité, directement	Rend tous les autres champs attribuables
Adresse courriel	Souvent prénom, nom et employeur en une seule ligne	Un canal par lequel la personne reste joignable
Numéro de téléphone	Un numéro, le plus souvent le même pendant des années	Facile à recouper avec d’autres répertoires
Adresse	Le lieu de domicile, le quartier, parfois la situation de logement	Avec le nom, presque toujours unique
Date de naissance	L’âge, la minorité, l’année de naissance	Une clé fréquente pour relier des jeux de données
Listes de choix	Exactement ce qui a été demandé — et parfois davantage	« Cours pour personnes sans emploi » en dit long sur la situation
Champ libre	Tout ce qui paraît important à la personne qui répond	Voir plus bas
Envoi de fichier	Le contenu du fichier et ses métadonnées	Une photo porte souvent l’heure de prise de vue et l’appareil, un PDF un nom
Case de consentement	Le fait du consentement, utilement avec l’horodatage et le texte affiché	La trace de ce à quoi il a été consenti, et quand

La liste de choix mérite un second regard. Un menu déroulant paraît anodin parce que les options sont imposées. Mais les options elles-mêmes peuvent porter des informations : « tarif réduit pour bénéficiaires AI », « groupe de reprise après maladie », « cours du soir pour membres du syndicat ». Cocher une telle option revient à livrer une indication que le formulaire ne posait pas comme question.

Ce qui arrive sans que personne le saisisse

À côté des champs remplis, une seconde couche d’informations naît au moment de l’envoi. Elle est invisible sur le formulaire et, le plus souvent, déjà visible dans le tableau de dépouillement.

L’horodatage. Chaque entrée porte une heure. Sur un formulaire d’inscription, c’est une donnée administrative. Sur un formulaire d’annonce interne, l’horodatage est lui-même une information : dans une petite entreprise, la personne qui a annoncé quelque chose un dimanche à 23 h 40 est parfois déjà cernée.

La page d’origine. Beaucoup d’outils enregistrent la page d’où venait la personne. Cela peut être anodin. Cela peut aussi signifier que le tableau consigne qu’un visiteur a lu la page « conseil en cas de surendettement » avant de s’inscrire.

Les indications techniques. Selon l’outil, l’adresse IP, le navigateur et l’appareil sont retenus. Savoir si, dans un cas donné, ces indications rendent une personne identifiable se décide à l’art. 5 let. a LPD — et donc au vu de ce qui figure par ailleurs dans la même ligne.

Les états intermédiaires. Les formulaires qui enregistrent au fil de la saisie conservent aussi ce que quelqu’un a écrit puis effacé. La seconde réponse, plus réfléchie, ne remplace pas partout la première.

Cette couche ne résulte pas d’une mauvaise intention, mais de réglages par défaut. L’art. 7 al. 3 LPD vise précisément ce point : le responsable du traitement garantit, par des préréglages appropriés, que le traitement est limité au minimum requis par la finalité, sauf indication contraire de la personne concernée.

La catégorie que la loi traite à part

La LPD ne trie pas les données personnelles entre « importantes » et « secondaires », mais elle connaît un groupe énuméré de manière exhaustive. L’art. 5 let. c LPD désigne comme données sensibles :

1. les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales
2. les données sur la santé, la sphère intime ou l’appartenance à une race ou à une ethnie
3. les données génétiques
4. les données biométriques identifiant une personne physique de manière univoque
5. les données sur des poursuites ou sanctions pénales et administratives
6. les données sur des mesures d’aide sociale

Un nom n’en fait pas partie. Un numéro de téléphone non plus. En revanche, la mention qu’un enfant est asthmatique en fait partie, comme celle qu’une personne ne peut pas venir un jour donné pour des motifs religieux, ou qu’une inscription passe par l’aide sociale — ou encore l’empreinte digitale qui ouvre un contrôle d’accès. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) cite les données de santé et les caractéristiques biométriques telles que les empreintes digitales comme exemples de cette catégorie.

Ce qui dépend de cette qualification

La catégorie n’est pas une étiquette, mais le point d’accroche de plusieurs dispositions. La loi y rattache notamment :

• La forme du consentement. Lorsqu’un consentement est requis, il n’est valable que s’il est donné librement, pour un ou plusieurs traitements déterminés, et après une information adéquate (art. 6 al. 6 LPD). Pour les données sensibles, il doit en outre être exprès (art. 6 al. 7 let. a LPD). À propos des questionnaires de santé, le PFPDT relève que des consentements globaux formulés de manière générale ne suffisent pas, contrairement à des déclarations formulées concrètement.
• La communication à des tiers. Il y a notamment atteinte à la personnalité lorsque des données sensibles sont communiquées à des tiers (art. 30 al. 2 let. c LPD). Elle est illicite si aucun motif justificatif au sens de l’art. 31 LPD n’existe.
• La journalisation et le règlement de traitement. Lorsque des données sensibles sont traitées automatiquement à grande échelle et que les mesures préventives ne suffisent pas à assurer la protection des données, l’art. 4 OPDo exige au moins la journalisation de l’enregistrement, de la modification, de la lecture, de la communication, de l’effacement et de la destruction. Un traitement à grande échelle appelle en plus un règlement de traitement selon l’art. 5 OPDo.
• Le registre des activités de traitement. Les entreprises comptant moins de 250 collaborateurs au 1er janvier en sont en principe dispensées — sauf si des données sensibles sont traitées à grande échelle ou s’il y a profilage à risque élevé (art. 24 OPDo).
• L’analyse d’impact. Un risque élevé existe notamment en cas de traitement à grande échelle de données sensibles (art. 22 al. 2 let. a LPD).

Les expressions « à grande échelle » et « de grande ampleur » ne sont chiffrées nulle part. Savoir si une école de musique avec 300 inscriptions par semestre entre dans ce cadre relève du cas d’espèce et ne se lit pas dans le texte légal.

Le champ libre

Reste le champ auquel on pense le moins et dans lequel arrive le plus.

« Y a-t-il autre chose que nous devrions savoir ? » est une question aimable. C’est aussi une invitation ouverte. Dans une école de musique, on y lit : « Nora est allergique aux noix, merci d’y penser au camp. » Dans un club sportif : « Je prends des anticoagulants, mon médecin est au courant. » Sur un bulletin de cours : « Je viens par le programme d’intégration professionnelle, la facture va au service social. » Dans le formulaire de contact d’un service de consultation, c’est parfois toute l’histoire qui s’y trouve.

Trois choses méritent d’être relevées.

Premièrement : les indications n’ont pas été collectées, elles ont été offertes. Personne n’a posé de question sur la santé. Ces indications figurent pourtant maintenant dans le même tableau que les numéros de téléphone — et, dès lors qu’elles y figurent, ce sont des données sur la santé au sens de l’art. 5 let. c ch. 2 LPD. Le fait qu’elles soient venues sans qu’on les demande ne change rien à la qualification.

Deuxièmement : le texte libre ne se trie pas. Un champ « allergies » peut être masqué, stocké séparément, rendu visible à un cercle restreint et effacé après un délai. Un champ « remarques » ne le peut pas, parce que personne ne sait à l’avance ce qu’il contiendra. Toutes les personnes autorisées à ouvrir le tableau voient tout.

Troisièmement : c’est d’abord une question de conception. La loi exige que les données personnelles soient collectées de manière proportionnée et uniquement pour une finalité déterminée et reconnaissable pour la personne concernée (art. 6 al. 2 et 3 LPD). Le PFPDT formule la même idée pour les associations en disant que seules les données réellement nécessaires à la réalisation du but de l’association peuvent être traitées. Un champ dont le contenu est indéterminé à l’avance rend cet examen difficile — non parce qu’il serait interdit, mais parce qu’il est malaisé de juger de l’inconnu. Remplacer « remarques » par deux champs concrets et clairement intitulés, c’est savoir d’avance ce qui arrivera.

Un formulaire où rien de tout cela ne joue

Le contre-exemple est tout aussi instructif. Une menuiserie de Bulle a sur son site un formulaire de contact à trois champs : nom, courriel, message. Pas de date de naissance, pas d’adresse, pas de téléversement, pas de liste de choix délicate. Les demandes portent sur des façades de cuisine et des délais de livraison.

Ce sont là des données personnelles, et les principes de l’art. 6 LPD s’appliquent comme partout. Mais aucune des dispositions sur les données sensibles n’entre en jeu, parce que de telles données n’apparaissent tout simplement pas — à une réserve près : le champ « message » est un champ libre. Là aussi, une phrase sur une maladie peut un jour s’y trouver. La différence avec le premier exemple n’est pas la technique, mais la probabilité et le volume.

C’est précisément pour cela que la question des champs d’un formulaire est plus utile que celle du logiciel qui l’a produit. À la première, on répond en dix minutes en imprimant son propre formulaire et en le parcourant ligne par ligne. Pour les particuliers qui montent un formulaire pour une manifestation ou une commande groupée, c’est la même demi-page de travail.

Avec Formulare, nous développons une application web pour exactement ce cas de figure : des formulaires dont les réponses sont chiffrées dans le navigateur et conservées en Suisse. Cela ne change rien aux champs qu’un formulaire comporte — cela reste la décision de celle ou celui qui le met en place. Cela change le nombre d’endroits capables de lire les réponses en chemin.