Il faut rapidement corriger les défauts de jeunesse du nouvel abonnement de transports publics "Swiss Pass"

Wortlaut

Je pose donc au Conseil fédéral les questions suivantes :

1. Le Conseil fédéral est-il conscient que les règles en matière de protection des données du "Swiss Pass" contreviennent aux concepts modernes en la matière, comme la protection des données dès la conception ("Privacy by Design") ou par défaut ("Privacy by Default"), principes qu'il a soutenus dans ses réponses à mes postulats 13.3806 et 13.3807 ?

2. Ce traitement de données personnelles et leur transfert à des tiers sont-ils légaux ?

3. Va-t-il intervenir auprès des CFF et des autres entreprises de transports publics concernées (ainsi que leurs propriétaires), afin que le swiss pass garantisse la protection des données dès la conception et par défaut ? Si non, pourquoi ?

4. Est-il conscient que le système de scannage du "Swiss Pass" risque de nettement augmenter le durée des contrôles d'abonnement dans les transports publics, et donc en diminuer le nombre tout en compliquant inutilement la vie du personnel et des usagers ? Va-t-il intervenir pour que cela soit simplifié ?

5. Pense-t-il que la diminution du nombre de contrôle due à leur allongement entraîne un risque accru de resquille ?

6. Va-t-il intervenir pour que le "Swiss Pass" soit doté d'un ou plusieurs noms dans les langues nationales ? Si non, pourquoi ?

Begründung

Les CFF et d'autres entreprises de transports publics ont introduit le nouvel abonnement "Swiss Pass". Or, en plus d'être désigné uniquement par un anglicisme, ce nouvel abonnement a le défaut de ne pas prévoir de garanties suffisantes en matière de protection de la sphère privée. En effet, les données personnelles de ses détenteurs peuvent être utilisées à des fins marketing, à moins que ceux-ci ne s'y opposent expressément. Elles peuvent aussi être transmises à des tiers. Les usagers ne sont pas explicitement avertis de cette possibilité et doivent faire les démarches eux-mêmes pour empêcher une diffusion de leurs données personnelles. Cette pratique contrevient aux concepts modernes en la matière. En raison de l'importante diffusion des abonnements que le "Swiss Pass" est appelé à remplacer, il est fort probable que les données personnelles de millions d'usagers des transports publics soient traitées abusivement.

Par ailleurs, le nouveau système de contrôle rend ces derniers plus lents et risque de compliquer inutilement la vie du personnel et des usagers.

Stellungnahme des Bundesrates

1. La branche des transports publics (TP) fait la distinction entre les données relatives aux clients et celles relatives aux contrôles. L'introduction du "Swiss Pass" ne change rien au traitement des données des clients, qui continuent à être utilisées à des fins marketing, et ce, selon les CFF, de manière très modérée.

La concrétisation des principes "Privacy by Default" (principe de protection des données par défaut) et "Privacy by Design" (protection des données dès la conception) fait actuellement l'objet de discussions aussi bien en Suisse qu'en Europe dans le cadre des réformes de la protection des données. En ce qui concerne le "Swiss Pass", le Conseil fédéral décèle deux points dont il faut tenir compte, eu égard aux principes précités. S'agissant des données des clients, le conflit avec le principe "Privacy by Default" pourrait provenir du fait que c'est au client de s'opposer à l'utilisation de ses données à des fins de marketing. Quiconque ne souhaite pas voir ses données utilisées à ces fins doit le communiquer par courriel, par téléphone ou à un guichet.

Chaque contrôle d'un voyageur muni du "Swiss Pass" génère des données de contrôle. Celles-ci sont conservées durant 90 jours. Il faut examiner cet archivage à la lumière du principe "Privacy by Design": selon les indications des CFF, la durée d'archivage doit permettre de traiter les éventuelles réactions de clients à la suite d'un voyage.

Il incombe au préposé fédéral à la protection des données et à la transparence (PFPDT) de vérifier s'il y a infraction à la loi sur la protection des données (LPD) et, le cas échéant, de veiller au respect des prescriptions. Lors de son activité de surveillance, le PFPDT effectue chaque année des contrôles de la protection des données, donc aussi en ce qui concerne le "Swiss Pass". Au printemps 2015, l'Union des transports publics (UTP), qui diffuse le "Swiss Pass", et les CFF ont présenté au PFPDT les mesures de protection des données. L'examen formel du PFPDT sous forme d'"élucidation des faits" concernant le "Swiss Pass" n'est pas encore achevé. Dans ce contexte, l'UTP et les entreprises associées coopèrent sans réserve avec le PFPDT.

2. Les CFF garantissent qu'ils ne font à aucun moment commerce des données de leurs clients. La communication de données à des tiers ne peut avoir lieu que si des partenaires spécialisés fournissent des prestations sur mandat des CFF, et ce à condition qu'aucune obligation légale ou contractuelle de garder le secret ne l'interdise. De plus, le traitement des données communiquées est réglé par contrat avec les entreprises partenaires ; or ce type de contrat est obligatoirement fondé sur les dispositions de la législation suisse sur la protection des données. Par conséquent, le Conseil fédéral ne décèle pas de traitement illégal de données par des tiers.

3. Le Conseil fédéral est convaincu que le PFPDT prendrait les mesures nécessaires s'il devait constater des infractions à la LPD.

4. Il est vrai que le processus de contrôle dans les trains est un peu plus long. Le contrôle proprement dit est très bref, mais les clients doivent remettre leur abonnement au personnel. Cependant, avec le "Swiss Pass", les contrôles deviennent plus précis, car le personnel de contrôle remarque immédiatement les abonnements non valables. C'est aux entreprises des TP qu'il incombe de veiller à un contrôle approprié et convivial des titres de transport.

5. Déjà à l'heure actuelle, le taux de contrôle des titres de transport dans les TP n'est pas de 1,0 %. Vu le volume actuel du trafic et le nombre de passagers, cela ne serait ni réalisable du point de vue logistique ni judicieux sur le plan de l'économie d'entreprise. La longue expérience a montré qu'un taux de contrôle de 1,0 % n'est pas nécessaire pour mettre en oeuvre l'obligation d'être en possession d'un titre de transport. Il est bien plus important que les contrôles aient lieu partout et régulièrement. Les entreprises de transport observent en permanence le taux de voyageurs sans titre de transport valable. Si, contre toute attente, ce taux devait augmenter, les entreprises de transport seraient en état d'intensifier les contrôles.

6. Le marketing et le nom d'un produit relèvent de la compétence des entreprises de transport membres de l'UTP. Le Conseil fédéral n'a aucun motif pour intervenir. L'UTP est d'avis que l'utilisation d'un anglicisme présente des avantages : dans la Suisse plurilingue, elle peut simplifier la communication à l'échelle nationale sans défavoriser une communauté linguistique. De manière générale, un anglicisme permet davantage d'accroître la reconnaissance de produits et d'offres qu'une désignation dans chaque langue nationale. Le nom "'Swiss Pass'" a été choisi par un groupe de représentants de toutes les régions linguistiques du pays.

Réponse du Conseil fédéral.