LPrD — refonte vaudoise de la protection des données

 

La refonte vaudoise de la protection desdonnées

Un droit public enfin outillé, mais encore dépendant de ses moyens

Auteur.es: l'Equipe droit-et-sante.ch, juillet 2026

 

Résumé. — Le projet de nouvelle loi vaudoise sur la protection des données personnelles (pLPrD) opère une refonte nécessaire du droit cantonal. Il transpose les exigences de Schengen, rapproche le canton de la Convention 108+ et de la loi fédérale révisée, introduit la protection des données dès la conception et par défaut, l’analyse d’impact, l’annonce des violations de sécurité et des pouvoirs correctifs contraignants. Pour les patients, les résidents et la population, le gain normatif est réel. Pour l’État de Vaud, les communes et les établissements publics de soins, la réforme transforme cependant la conformité en fonction permanente de gouvernance. L’équilibre reste perfectible sur cinq points : le rôle du consentement dans les rapports asymétriques, les décisions algorithmiques qui ne prennent pas la forme d’une décision administrative exclusivement automatisée, le régime des essais pilotes, la publicité des audits et l’adéquation des ressources de l’autorité de contrôle. La distinction entre activités publiques et activités exercées en concurrence économique mérite enfin une doctrine d’application commune aux établissements sanitaires. Le projet est donc substantiellement équilibré, mais son efficacité dépendra moins de nouveaux principes que de bases légales sectorielles précises, de responsabilités institutionnelles identifiées et de moyens de contrôle suffisants.

Mots-clés — Protection des données ; données de santé ; hôpital public ; clinique privée ; patient ; résident ; décision automatisée ; essai pilote ; violation de sécurité ; transparence ; Vaud.

1. Une refonte devenue matériellement indispensable

Le 5 mars 2026, le Conseil d’État vaudois a ouvert une consultation portant simultanément sur une refonte totale de la loi du 11 septembre 2007 sur la protection des données personnelles, une révision de la loi du 24 septembre 2002 sur l’information et une nouvelle loi sur la vidéosurveillance. La consultation s’est achevée le 8 juin 2026. Au jour de la présente analyse, il s’agit encore de projets : ils n’ont ni la force ni la stabilité d’une loi adoptée.

La révision de la LPrD n’est pas un exercice cosmétique. Le droit actuel précède la loi fédérale du 25 septembre 2020 sur la protection des données (LPD), entrée en vigueur le 1er septembre 2023, et la modernisation de la Convention 108. Le pLPrD entend en outre assurer la compatibilité du droit vaudois avec l’acquis de Schengen, notamment la directive (UE) 2016/680 pour les traitements relevant de la police et de la justice pénale. Dans une administration devenue largement numérique, le modèle ancien — principes généraux, déclarations de fichiers et recommandations de l’autorité — ne suffit plus à gouverner les plateformes, le nuage informatique, les chaînes de sous-traitance, les données biométriques ou les outils d’aide à la décision.

La pratique fournit déjà des signaux tangibles. En 2025, l’Autorité de protection des données et de droit à l’information (APDI) a reçu 525 demandes de conseil en matière de protection des données, auxquelles se sont ajoutées 160 demandes relatives à la vidéosurveillance. Neuf violations de la sécurité lui ont été annoncées volontairement, alors que le droit en vigueur ne prévoit pas encore d’obligation générale d’annonce. L’APDI a également dû intervenir au sujet de données liées au COVID-19 qui auraient dû être détruites ou anonymisées et rappeler que le partage de données de citoyens au moyen de WhatsApp, souvent sur des téléphones privés, n’est pas admissible.

Ces exemples ne démontrent pas une faillite générale de l’État. Ils révèlent un problème plus structurel : la conformité dépend encore trop souvent d’interventions ponctuelles après la conception du traitement. Le rapport n° 74 de la Cour des comptes avait déjà constaté que les responsabilités, pourtant définies sur le papier, étaient insuffisamment connues dans plusieurs entités-métiers et que la formation ainsi que l’ancrage d’une culture de protection et de sécurité devaient être renforcés. La question pertinente n’est donc pas de savoir si une nouvelle loi est nécessaire, mais si le projet convertit correctement les principes en obligations opérationnelles et en recours effectifs.

2. Du fichier à la gouvernance du traitement

2.1 Un champ public étendu, avec maintien des personnes morales

Le pLPrD s’applique au canton, aux communes et collaborations intercommunales, aux autorités, aux personnes morales de droit public ainsi qu’aux personnes physiques ou morales auxquelles le canton ou une commune confie une tâche publique. Comme le droit vaudois actuel, il protège les données relatives aux personnes physiques et morales. Ce maintien est notable : la LPD fédérale révisée ne régit plus que les données concernant des personnes physiques.

Le projet exclut les procédures civiles et pénales ainsi que les procédures administratives contentieuses, régies par leurs règles propres, mais inclut expressément les procédures administratives de première instance. Il prévoit par ailleurs que les traitements effectués par une entité publique dans une activité soumise à la concurrence économique et relevant du droit privé sont régis par la LPD fédérale appliquée par analogie, tandis que la surveillance demeure attribuée à l’APDI.

Cette articulation est pertinente, mais délicate dans le secteur sanitaire. Le CHUV, personne morale de droit public, est en principe soumis au droit cantonal. Une clinique privée relève normalement de la LPD fédérale. Une entité privée chargée d’une tâche publique n’est soumise au pLPrD que dans l’exercice de cette tâche. La présence sur une liste hospitalière, la facturation à l’assurance obligatoire ou le bénéfice d’un financement public ne permettent pas, à eux seuls et sans examen de la loi, de qualifier chaque activité de « tâche publique confiée ». Inversement, un établissement public peut exercer certaines prestations dans un environnement concurrentiel. La qualification doit se faire par traitement, selon la base légale, la finalité et la qualité dans laquelle agit l’entité — non selon l’étiquette de l’établissement.

Pour le patient, cette dualité est peu lisible. Deux épisodes d’un même parcours de soins peuvent relever de lois et d’autorités différentes. Une information de premier niveau devrait dès lors indiquer, pour chaque traitement important, le responsable, le régime applicable et l’autorité de contrôle. Sans cette discipline, la sophistication de la distinction institutionnelle se transforme en coût d’accès au droit.

2.2 Des principes modernisés et opposables dès la conception

Le cœur matériel du projet est solide. Les données ordinaires peuvent être traitées lorsqu’une base légale l’autorise ou que l’accomplissement d’une tâche légale l’exige. Le traitement de données sensibles ou le profilage exige, en principe, une loi au sens formel qui le prévoit expressément ou une tâche clairement définie dans une telle loi et qui requiert absolument le traitement. Les données génétiques et biométriques identifiantes entrent expressément dans la catégorie des données sensibles.

Aux principes de finalité, de proportionnalité, de transparence, d’exactitude et de sécurité s’ajoutent la protection des données dès la conception et par défaut. Le responsable doit donc intégrer les exigences avant le déploiement, puis régler les paramètres initiaux de manière à limiter le traitement au minimum nécessaire. Une application clinique ne devrait plus être évaluée uniquement au moment de la mise en production : choix des champs, habilitations, traces d’accès, durées de conservation, environnements d’essai, exportations et interfaces doivent être conçus juridiquement avec l’architecture technique.

Le projet impose en outre une analyse d’impact lorsqu’un traitement est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux, notamment en cas de traitement à grande échelle de données sensibles. Si le risque demeure élevé malgré les mesures prévues, l’APDI doit être consultée. Celle-ci dispose en principe de deux mois, prolongeables d’un mois, pour proposer des mesures. Il s’agit d’un progrès majeur pour les entrepôts de données de santé, les rapprochements de registres, certains usages de l’intelligence artificielle ou les dispositifs biométriques.

Deux nuances s’imposent. Premièrement, l’avis préalable ne se confond pas avec une autorisation : la responsabilité de la licéité reste celle du responsable du traitement. Deuxièmement, l’analyse d’impact ne doit pas devenir un document de conformité figé. Pour les modèles apprenants, les plateformes régulièrement modifiées et les traitements dont l’échelle croît, elle doit être réexaminée lorsque le risque change substantiellement.

2.3 Informer, donner accès et annoncer les incidents

Le devoir d’information est sensiblement renforcé. Il vaut aussi lorsque les données ne sont pas collectées auprès de la personne concernée. L’information minimale porte sur le responsable, la finalité, les destinataires et les catégories de données ; un transfert à l’étranger appelle des indications supplémentaires. Les exceptions — information déjà disponible, traitement ressortant de la loi, impossibilité, effort disproportionné ou intérêts prépondérants — doivent demeurer d’interprétation restrictive, faute de quoi la transparence sera absorbée par la complexité administrative.

Le droit d’accès comprend désormais une copie des données, la base légale le cas échéant, la durée de conservation ou ses critères, l’origine des données, l’existence d’une décision individuelle automatisée et les destinataires. La réponse est due en principe dans les trente jours. La gratuité demeure la règle, avec un émolument possible lorsque le travail est considérable ou les demandes répétitives. Dans le domaine des soins, ce droit général s’articule avec les dispositions spéciales de la loi sur la santé publique, en particulier le droit d’accès au dossier du patient. La loi spéciale conserve sa fonction propre ; le pLPrD complète notamment les informations relatives au traitement des données.

L’obligation d’annoncer les violations de sécurité constitue l’une des améliorations les plus concrètes. Le responsable doit annoncer à l’APDI, dans les meilleurs délais, les violations entraînant vraisemblablement un risque élevé. La personne concernée est informée lorsque cela est nécessaire à sa protection ou lorsque l’APDI l’exige. Le seuil évite une surnotification de faits mineurs. Il exige cependant une méthode homogène d’évaluation du risque et une documentation des décisions de ne pas annoncer. Dans un hôpital, une mauvaise adresse électronique, un dossier accessible au mauvais service, un rançongiciel ou l’exposition d’une liste de patients ne produisent pas les mêmes risques, mais aucun ne doit être traité intuitivement.

3. Le secteur de la santé comme test de robustesse

3.1 Le consentement n’est pas une base universelle de l’action publique

Le pLPrD définit correctement le consentement : la volonté doit être libre, porter sur un ou plusieurs traitements déterminés et être précédée d’une information adéquate ; elle doit être expresse pour les données sensibles et le profilage. Cette définition ne résout toutefois pas la difficulté fondamentale des rapports asymétriques.

Un patient hospitalisé, un résident dépendant d’un établissement médico-social, une personne sollicitant une prestation sociale ou un collaborateur soumis à son employeur public ne dispose pas toujours d’une liberté réelle de refus. Le consentement aux soins et le consentement à un traitement de données sont en outre deux actes juridiquement distincts. Accepter une intervention ne signifie pas accepter que les données soient réutilisées pour une finalité accessoire, qu’elles alimentent un produit ou qu’elles soient transférées à un prestataire non indispensable. La règle de méthode devrait être la suivante : lorsque l’État ou l’hôpital accomplit une tâche légale, il doit rechercher la base légale appropriée et ne pas demander au consentement de réparer une insuffisance normative.

Cette exigence protège aussi l’institution. Un consentement artificiellement « libre », impossible à retirer sans conséquence pratique, est une base fragile. Pour les usages facultatifs, le refus doit pouvoir être exercé sans dégradation indue de la prise en charge. Pour les personnes incapables de discernement, il faut articuler le pLPrD avec les règles de représentation du Code civil et la législation sanitaire, sans présumer que la personne qui consent aux soins dispose automatiquement d’un pouvoir illimité sur toute utilisation des données.

3.2 L’angle mort des décisions algorithmiques cliniques

L’art. 17 pLPrD vise les décisions administratives rendues exclusivement sur la base d’un traitement automatisé. Elles doivent le mentionner ; le droit d’être entendu est garanti lorsque la loi de procédure l’exige et une révision humaine doit être possible dans le cadre d’une réclamation ou d’un recours.

La disposition améliore le droit positif, mais son champ est étroit. Un score de risque, une alerte de détérioration, une priorité de triage, une recommandation de sortie ou un outil d’allocation de ressources en soins intensifs peut influencer très fortement une décision clinique sans être une décision administrative, sans être exclusivement automatisé et sans ouvrir de voie de recours classique. Or l’intervention nominale d’un humain ne suffit pas si celui-ci suit systématiquement le résultat sans comprendre ses limites.

Le projet ne crée pas non plus un droit général à une explication intelligible des facteurs déterminants, des données utilisées et des limites de l’outil. Le droit d’accès révèle l’existence de la décision automatisée, mais non nécessairement la logique utile à sa contestation. Pour la santé, une norme sectorielle devrait imposer au minimum : validation clinique ; documentation de la performance et des biais ; traçabilité de la version ; information adaptée ; possibilité d’un réexamen humain qualifié ; et interdiction de défavoriser une personne qui demande ce réexamen. L’analyse d’impact est nécessaire, mais elle ne remplace pas ces garanties matérielles.

3.3 Recherche, statistique et risque de réidentification

L’art. 25 pLPrD permet aux entités de traiter et communiquer des données à des fins qui ne se rapportent pas à des personnes, notamment pour la recherche, la planification ou la statistique. Les données doivent être anonymisées dès que le but le permet ; les données sensibles ne peuvent être communiquées à des personnes privées que sous une forme non identifiante et les résultats doivent être publiés sans identification. Les exigences ordinaires de l’art. 6 al. 2, du principe de finalité et de la communication ne s’appliquent alors pas.

Cette ouverture sert un intérêt public important : mesurer la qualité, planifier l’offre et produire des connaissances. Elle doit néanmoins être interprétée avec la loi fédérale relative à la recherche sur l’être humain lorsque celle-ci est applicable. Surtout, « anonymisé » ne signifie pas simplement dépourvu de nom ou de numéro AVS. Des trajectoires rares, des dates, un diagnostic exceptionnel ou le croisement avec des données publiques peuvent permettre une réidentification. La gouvernance doit distinguer anonymisation robuste, pseudonymisation et simple codage, et actualiser l’évaluation à mesure que les sources de recoupement progressent.

4. Une autorité renforcée, mais des choix institutionnels discutables

4.1 De la recommandation à l’ordre contraignant

Le passage le plus important du projet est peut-être procédural. Dans le droit actuel, l’APDI formule en principe des recommandations ; si elles ne sont pas suivies, la chaîne décisionnelle devient plus indirecte. Le pLPrD lui confère un véritable pouvoir d’enquête et la faculté d’ordonner l’information des personnes, la rectification, l’effacement ou la destruction, la mise en conformité, voire la suspension ou la cessation du traitement. Ces décisions sont susceptibles de recours au Tribunal cantonal.

Pour les personnes concernées, cette évolution augmente l’effectivité systémique. Il faut toutefois distinguer la surveillance de l’exercice des droits individuels. La personne qui demande accès, rectification ou effacement s’adresse d’abord au responsable du traitement ; le refus fait l’objet d’une décision et d’un recours selon la LPA-VD. Dans une enquête de surveillance, l’auteur d’un signalement n’est pas nécessairement partie à la procédure. Le public devra être informé de cette différence afin d’éviter que le dépôt d’une plainte à l’APDI ne soit pris, à tort, pour une voie de recours suspendant les délais.

Le projet exclut de la surveillance de l’APDI le Grand Conseil, le Conseil d’État et le Tribunal cantonal. Le commentaire invoque la séparation des pouvoirs et l’indépendance de la justice, tout en admettant la surveillance d’activités non juridictionnelles d’autres entités. La préoccupation institutionnelle est légitime ; l’exclusion générale laisse toutefois un déficit : les traitements administratifs de ces organes peuvent eux aussi affecter gravement des personnes. Une solution plus proportionnée serait d’exclure la surveillance des activités juridictionnelles et politiques protégées, tout en prévoyant une forme de contrôle indépendant pour leurs activités administratives.

4.2 Les personnes de référence : une bonne réponse, incomplètement généralisée

Chaque département doit désigner au moins une personne de référence possédant les connaissances nécessaires, indépendante dans l’accomplissement de ses tâches de protection des données et point de contact de l’APDI. Des conseillers sont également prévus dans les domaines Schengen. La mesure répond directement à une recommandation de la Cour des comptes et devrait rapprocher l’expertise des métiers.

L’obligation ne couvre cependant pas, dans les mêmes termes, chaque commune, chaque établissement autonome ni chaque grande entité publique. Or un hôpital cantonal traite à très grande échelle des données parmi les plus sensibles. Le critère devrait être fonctionnel : risque, volume, complexité et autonomie du responsable. Il serait cohérent d’imposer un conseiller qualifié aux entités dont les activités principales comportent des traitements sensibles à grande échelle, quitte à permettre un partage de fonction pour les petites communes.

4.3 Audits non publics et erreur de renvoi

L’APDI peut réaliser des audits, mais l’art. 47 al. 4 prévoit que les rapports sont communiqués à l’entité, à sa hiérarchie, à la présidence du Conseil d’État et à celle de la Commission de gestion du Grand Conseil et que, « pour le surplus », ils ne sont pas publics. Une confidentialité temporaire peut être indispensable pour ne pas exposer des vulnérabilités techniques, des secrets protégés ou des données personnelles. Une exclusion générale prive cependant les patients, les journalistes et la population d’informations sur des défaillances systémiques financées par des fonds publics. Le pouvoir de l’APDI d’informer le public lorsqu’il en va de l’intérêt général ne remplace pas un régime nuancé d’accès.

La solution devrait être la publication d’une synthèse ou d’une version caviardée, après correction des vulnérabilités, sous réserve d’intérêts prépondérants concrets. Elle rapprocherait sécurité et reddition de comptes au lieu de les opposer abstraitement.

Enfin, l’art. 42 al. 1 let. d permet à l’APDI d’ordonner l’annonce d’un traitement au registre « conformément à l’article 48 ». Or l’art. 48 régit le rapport annuel, le registre figure à l’art. 49 et l’obligation d’annonce à l’art. 50. Il s’agit vraisemblablement d’un renvoi erroné, à corriger avant le message au Grand Conseil. Le même décalage apparaît à l’art. 44 al. 1 let. e, qui attribue à l’APDI la tenue du registre « institué à l’article 48 ». Ce type d’erreur n’est pas substantiel, mais il est particulièrement malvenu dans une loi appelée à fonder des mesures contraignantes.

5. Les essais pilotes : innovation légitime, légalité à surveiller

L’art. 23 autorise le Conseil d’État, par arrêté, à permettre temporairement le traitement ou la communication de données sensibles et le profilage avant l’entrée en vigueur de la loi formelle requise. La tâche doit déjà être prévue par une loi formelle, des mesures doivent réduire les atteintes et la phase d’essai doit être indispensable, notamment pour des raisons techniques. L’APDI est consultée ; un rapport est exigé dans les deux ans et l’essai doit cesser au plus tard après cinq ans si la base légale n’est pas entrée en vigueur.

Le mécanisme répond à une difficulté réelle : une loi ne peut pas toujours être correctement rédigée sans expérimentation technique. Dans les soins, il peut faciliter une interopérabilité, un modèle de prédiction ou une nouvelle plateforme. Mais l’essai pilote ne doit pas devenir une voie générale de contournement de l’exigence de base légale formelle. Cinq ans représentent une durée considérable à l’échelle numérique ; un système expérimental peut, durant ce temps, se normaliser et créer une dépendance organisationnelle.

Quatre compléments renforceraient l’équilibre : publication de l’arrêté, de la finalité et d’un résumé de l’analyse d’impact ; prise de position publique de l’APDI, sauf éléments protégés ; critères d’arrêt anticipé ; et information du Grand Conseil lorsqu’un essai porte sur des données de santé à grande échelle, des données biométriques ou un profilage susceptible d’affecter l’accès à une prestation. L’innovation resterait possible, mais son caractère exceptionnel deviendrait vérifiable.