Un profil prononcé
D’abord collaboratrice juridique, juriste spécialiste, puis adjointe, elle a rempilé en qualité de préposée ad interim avant d’être nommée à ce poste en 2019. Interrogée sur l’ampleur de la tâche, Cécile Kerboas indique: «La reprise de la charge duale de Préposée à la protection des données et à l’information – à titre temporaire – a été assez naturelle vu mon parcours. A préciser que mes prédécesseures, Mélanie Buard et Mireille Müller-Zahnd, m’ont beaucoup appris.»
La passion de la juriste pour ce domaine éminemment technique ne date pas de son entrée au service de l’Administration cantonale vaudoise. Sa formation l’a aussi sensibilisée aux problématiques actuelles et futures en protection des données, Cécile Kerboas étant au bénéfice d’un Master de droit en criminalité et sécurité des technologies de l’information. Elle a d’abord œuvré dans le secteur privé, en Valais, puis à Genève. Son expérience valaisanne lui a permis d’appréhender la matière au côté d’un avocat spécialiste du droit de la protection des données, Sébastien Fanti. La juriste a ainsi acquis une base solide avant de rejoindre l’Administration cantonale vaudoise.
La personne au centre
Pour Cécile Kerboas, l’envie de contribuer à une meilleure protection des droits des personnes est centrale dans son engagement. Dans les faits, la technicité inhérente à ce domaine du droit fait très souvent de l’ombre à son but originel, la protection de la personnalité. Cette femme dynamique ne manque pas de le rappeler. Et d’ajouter que l’éveil des consciences au niveau du besoin de protection des données personnelles n’a pas cessé de croître, ces dernières années. Les nombreuses évolutions à ce niveau, qu’elles soient d’ordre normatif, jurisprudentiel ou sociétal, cristallisent cet évident constat.
La Préposée à la protection des données transmet cette passion à d’autres. Elle est notamment en charge du module «Spécificités des administrations publiques», faisant partie intégrante du Certificate of advanced studies en protection des données de UniDistance. Elle délivre également des cours au sein de l’Administration publique cantonale et communale et est régulièrement invitée par l’Université de Lausanne dans le cadre du cours de protection des données dispensé par le Professeur Sylvain Métille. Cécile Kerboas explique que le transfert de connaissances est aussi important pour son activité de préposée. Selon elle, les contacts établis dans ce contexte permettent d’identifier les problématiques concrètes et les besoins de chacun, afin de trouver des solutions en amont. «Cet échange se révèle être tout particulièrement précieux pour notre travail en tant qu’autorité indépendante. Une connaissance effective du cadre de travail des entités soumise à notre Autorité nous offre la possibilité de concilier plus facilement les impératifs de protection des données avec ceux du fonctionnement des différentes structures concernées.»
Polyvalence
Les rapports d’activité de l’Autorité de protection des données et de droit à l’information le démontrent: le nombre de demandes adressées à l’Autorité de protection des données et de droit à l’information, administrés et administrations confondus, a quasiment triplé en l’espace de dix ans. Cette importante augmentation et les nombreuses casquettes assumées par l’entité ont ouvert la voie à la désignation d’un Préposé au droit à l’information, Eric Golaz.
Cette décision a aussi permis de répondre à des besoins en cas d’absence du Préposé à la protection des données et de développer, par la même occasion, des pôles de compétences pour cette entité soumise à une charge croissante de demandes. Cécile Kerboas relève que cette désignation était nécessaire: «En l’absence du Préposé à la protection des données, une personne doit disposer du droit de signature et être apte à assurer la suppléance. Outre les remplacements, les deux préposés collaborent intensément quand des dossiers comportent des problématiques concernant les domaines de compétences de chacun.»
Lorsqu’on lui demande de présenter ses activités «typiques», Cécile Kerboas sourit en ajoutant que la monotonie se trouve aux antipodes de son quotidien: «Ce métier nous impose d’être en permanence sur le qui-vive avec des journées intenses rythmées par les questions urgentes. Les demandes peuvent provenir tant des communes, de l’administration cantonale que des particuliers. Notre Autorité a la chance d’être régulièrement consultée par le canton et les communes.»
Organiser ses ressources pour exécuter le travail de fond représente un autre défi: «A titre exemplatif, une demande de suppression de données personnelles détenues par une entité publique exige l’analyse de chaque élément d’un dossier dont le volume peut être particulièrement important. Autant dire que cela requiert un investissement certain.»
Transversalité
A cela s’ajoute la flexibilité essentielle au spécialiste en protection des données, ce domaine impactant tous les secteurs d’activités de l’administration: «Nous pouvons ainsi être consultés par le Contrôle des habitants d’une commune, par l’Administration fiscale cantonale ou par la Police cantonale.»
Outre la transversalité de l’Autorité de protection des données et de droit à l’information, les différentes casquettes portées par cette entité ne sauraient être ignorées, comme le relève Cécile Kerboas: «Nous assumons à la fois le rôle d’autorité de surveillance de conseil et d’instance de recours2 en matière de protection des données personnelles. Cela n’est pas sans poser de problème en pratique: ce cumul apparent de rôles implique que nous soyons particulièrement attentifs aux types de conseils que nous dispensons, afin d’éviter d’être à la fois juge et partie en cas de recours subséquent.»
Les disparités intercantonales sont tout aussi représentatives de la diversité offerte par l’activité de Préposée cantonale à la protection des données. Dans le canton de Vaud, la loi sur la protection des données personnelles (LPrD; BLV 172.65) régit les traitements de données réalisés par les entités cantonales et communales, y compris les entités privées délégataires de tâches légales. Ces disparités peuvent conduire à des interrogations et des confusions tant des entités concernées que des justiciables: «En effet, des incompréhensions peuvent surgir dans la mesure où il n’est pas aisé d’appréhender les différences législatives entre les cantons. Nous pouvons être interpellés sur un traitement réalisé dans un autre canton, alors que le même traitement ne serait pas autorisé dans le canton de Vaud, faute de base légale identique ou analogue. Il s’agit là de l’expression même du fédéralisme.»
Evolutions futures
Cécile Kerboas souligne que l’administration se préoccupe des impacts de ses activités en termes de protection des données. Elle dit avoir été interpellée sur l’utilisation des réseaux sociaux, le site internet de l’Administration cantonale ou encore l’utilisation de certains programmes informatiques internes. Autant dire à quel point ses compétences en technologies de l’information sont régulièrement éprouvées.
Dans un futur proche, la centralisation des données l’interpelle: «Les administrations cherchent à être toujours plus efficientes pour offrir aux justiciables des services de qualité. Si cette tendance ne peut qu’être saluée, il conviendra de se montrer attentif à l’accumulation de données personnelles traitées qui dépasserait ce qui est légalement utile et nécessaire à l’accomplissement de la tâche dévolue à l’entité en question. Il est donc particulièrement important de limiter la transmission transversale des données personnelles d’une entité étatique à l’autre, sans oublier les questions qui entourent leur conservation.» ❙
1 Les traitements des données exercés par les cantons et les communes sont de la compétence des préposés cantonaux alors que les traitements des données opérés par les organes fédéraux et les personnes privées restent de la compétence du Préposé fédéral à la protection des données.
2 L’article 31 al. 1 LPrD prévoit une voie de recours alternative auprès du Préposé cantonal à la protection des données. En cas d’échec de la conciliation, la possibilité d’un recours devant le Tribunal cantonal reste possible.