Dans un arrêt A-8391/2025 du 22 juillet 2026 destiné à publication, le Tribunal administratif fédéral (TAF) a confirmé qu’il n’existe pas un droit à ce que le Préposé fédéral à la protection des données et à la transparence (PFPDT) ouvre une enquête ou rende une décision en cas de violation de la loi fédérale sur la protection des données. Si le PFPDT ne souhaite pas entrer en matière, la personne concernée doit agir seule devant les tribunaux civils pour faire reconnaître ses droits.
Des attentes élevées
Depuis la révision de la LPD, l’art. 49 LPD prévoit que le PFPDT ouvre d’office ou sur dénonciation une enquête contre un organe fédéral ou une personne privée si des indices suffisants font penser qu’un traitement de données pourrait être contraire à des dispositions de protection des données (al. 1), mais il peut y renoncer lorsque la violation des prescriptions de protection des données est de peu d’importance. Si la personne concernée est l’auteur de la dénonciation, le PFPDT l’informe alors des suites données à sa dénonciation et du résultat d’une éventuelle enquête (al. 4), mais elle n’a pas la qualité de partie à la procédure.
Se pose donc la question de savoir si c’est une simple possibilité pour le PFPDT ou si la personne concernée a un droit d’obtenir une décision du PFPDT, et cas échéant de recourir contre un refus d’entrée en matière.
Les attentes étaient élevées puisque la formulation est plus généreuse que l’aLPD qui exigeait notamment qu’un grand nombre de personnes soient atteintes pour que le PFPDT intervienne. Cela aussi semblait aller de paire avec le but de la révision qui était de renforcer les pouvoirs du PFPDT et les droits des personnes concernées.
La pratique du PFPDT
Lorsqu’il est saisi d’une dénonciation, le PFPDT répond souvent par un courriel standard qui indique que le PFPDT «vous informe qu’il a examiné votre annonce et est parvenu à la conclusion que les conditions légales requises pour ouvrir une enquête à l’encontre du responsable du traitement ne sont pas remplies en l’espèce. […] En raison du nombre important de plaintes reçues par le PFPDT, nous ne pouvons malheureusement pas vous fournir de justification détaillée concernant votre cas concret.»
Pas de droit à une décision
Le TAF retient que lorsque les conditions de l’art. 49 al. 1 LPD sont réalisées, le PFPDT est en principe tenu d’ouvrir une enquête mais qu’il dispose d’un certain pouvoir d’appréciation. Le dénonciateur, même si c’est la personne concernée par le traitement de données, n’a pas qualité de partie et n’a pas un droit à ce qu’une procédure soit menée même lorsque les conditions seraient remplies.
Ni la personne concernée, ni même le responsable du traitement visé n’ont un droit à ce que le PFPDT formalise son choix quant à la non-ouverture de l’enquête dans une décision qui serait sujette à recours. Finalement, le TAF retient qu’il n’y a pas de déni de justice, puisqu’il n’y a pas de droit à obtenir une décision.
Se défendre seul
Pour faire valoir ses droits, la personne concernée doit donc agir selon la voie civile si le responsable du traitement est une personne privée ou la voie du recours contre la décision rendue par l’organe fédéral responsable (art. 32 et 41 LPD).
Cette analyse est juridiquement pertinente, mais elle est regrettable car elle ne renforce pas les droits des personnes concernées. Le PFPDT dispose d’un large pouvoir d’appréciation et ne peut jamais être contraint d’ouvrir une procédure. Cela signifie donc que le PFPDT est bien une autorité de surveillance qui peut choisir les dossiers dont il s’occupe, et pas une autorité de surveillance qui sanctionne toutes les violations de la loi pour éviter que les personnes concernées ne doivent agir seules contre des responsables de traitement qui ont souvent beaucoup plus de moyens qu’elle.
Le législateur pensait avoir renforcé la protection des personnes en renforçant les pouvoirs du PFPDT, mais on est encore largement dans une système où chacun doit agir de son côté pour faire respecter son droit à la sphère privée.
À noter que cette décision cite à de nombreuses reprises deux ouvrages que j’ai édité: le CR-LPD et Protection des données: questions de procédure.