22_RES_6 - Résolution Didier Lohri et consorts - Registre des automobilistes et sécurité des données (Développement et mise en discussion avec au moins 20 signatures).

Séance du Grand Conseil du mardi 8 mars 2022, point 37 de l'ordre du jour

Texte déposé

Lors de la séance des questions du mois de février, le Conseil d’Etat a répondu au sujet de la communication des données personnelles des automobilistes.

Il est inutile de revenir sur les informations de la volumétrie de demandes d’anonymat tant la communication officielle annexée à l’envoi de la facture des taxes automobiles 2022 était sibylline et donc peu incitative à prendre conscience du risque encouru de voir nos données personnelles se retrouver sur le darknet ou autres.

Après quelques recherches sur les pratiques cantonales, il s’avère que le ton volontairement rassurant de la réponse démontre une multitude de pratiques contrairement aux indications données.

En résumé chacun fait une sauce particulière pour ouvrir son fichier des données.

Voici quelques exemples extraits du registre « Plaques suisses ».

Résultats :

• Fribourg et Tessin en 3 clics, nous obtenons le nom, prénom et l’adresse du détenteur.
• Pour le Tessin, nous avons même droit aux numéros de téléphone du détenteur.
• Genève, nous devons payer CHF 10.00, remplir un formulaire et motiver la demande. Celle-ci peut être refusée et les CHF 10.00 ne sont pas remboursés.
• Dans certains cantons, nous recevons sans autre les renseignements par SMS surtaxé de CHF 1.00.

Vous conviendrez que ceci est tout sauf rassurant.

Il faut aussi savoir qu’il existe un guide pratique vaudois qui explique l’activité au sein de la fonction publique, donnant accès à un certain nombre de données personnelles nécessaires à leur mission et dontils ne peuvent pas faire usage impunément. Ces données, quoi qu’en fassent les personnes concernées à titre privé, ne peuvent être traitées à la légère et bénéficient d’une protection qui est rappelée par le biais de la loi cantonale sur la protection des données (LPrD) et son règlement d’exécution.

La protection des données personnelles est une matière transversale qui fonctionne sur la base de principes et règles définis.

Nous constatons que la réponse du Conseil d’Etat ne contient aucun élément respectant les principes de protection des données.

A l’heure de la cybersécurité, il semble inconcevable que la commission thématique des systèmes d’information n’ait pas été consultée.

Nous déposons la résolution suivante au vu des délais extrêmement courts afin de réagir à cette mise en application connue depuis longtemps de la communication des données automobiles.

Le Grand Conseil demande qu’en avril 22, le Conseil d’Etat communique et assure que l’accès « indexauto » vaudois, respecte

la loi sur la protection des données LPrD, son règlement, son guide pratique ainsi que les principes de transparence en avertissant le détenteur du véhicule qu’une demande de renseignement a été sollicitée par un tiers, autre que les services de l’Etat et son principe de finalité.

En remerciant le Conseil d’Etat de sa volonté de mettre tout en œuvre pour que cette transmission dedonnées personnelles dites sensibles soit bien connue de tous.
 

Bassins, le 14 février 2022

Documents

• 22_RES_6-Texte déposé

Transcriptions

La résolution étant accompagnée de 25 signatures, la présidente ne demande pas l’appui de 20 membres.

Tout d’abord, je vous remercie d’avoir accepté cette modification de l’ordre du jour. Néanmoins, ce problème de l’Auto-Index est revenu à la charge aujourd’hui. Je remercie le Conseil d’Etat de l’évolution qu’il a accordée à l’Auto-Index depuis un mois. La réponse à la première question était presque « Circulez, il n’y a rien à voir, le fond ne change pas. » Un mois après, on constate que le Conseil d’Etat va prendre des mesures pour communiquer sur la manière dont il va procéder. En un mois, le changement est donc assez probant et je remercie le Conseil d’Etat d’avoir pris cette demande au sérieux.

Néanmoins, le fond de la résolution est aussi important. Je demande le respect de la Loi sur la protection des données et du principe de transparence. Je rappelle que le canton a pour mission de promouvoir la protection des données, de surveiller son application et d’informer d’office les particuliers sur les données communiquées. Je déclare mes intérêts : je suis membre de la Commission thématique des systèmes d’information depuis de nombreuses années. Ce matin encore, tout le monde a discuté de la cybersécurité. En ce qui concerne la maîtrise de la cybersécurité – c’est en tout cas ce que je retiens de mon passé professionnel – il ne faut pas s’en occuper tout d’un coup, mais être perpétuellement en éveil. Les arguments utilisés consistent à nous dire qu’il y a cinq demandes au maximum par jour. Permettez-moi d’en douter, parce que le niveau des jeunes des informaticiens fait qu’en une heure, vous pouvez collecter plus de cinq données informatisées du registre.

Par ailleurs, la question de cette cybersécurité est tout de même assez importante. S’il y a une commission qui devait traiter de tous ces problèmes de sécurité, c’est bien la Commission thématique des systèmes d’information. Aujourd’hui, on ouvre un registre des fichiers, alors que sur le fond, il n’y a pas de changement radical par rapport à ce qui existait auparavant. D’ailleurs, Mme la conseillère d’Etat l’a dit : sur le fond de la pratique, rien ne change. Je rappelle aux municipaux et syndics qui demandaient les coordonnées d’un automobiliste le parcours du combattant qu’ils devaient faire pour obtenir ces informations. Permettez-moi de ne pas être d’accord avec la situation que Mme la conseillère d’Etat a décrite. Il est impératif que la protection des données et le moyen d’accéder à ce registre des automobilistes soient surveillés autrement que par des propos rassurants – qui ne le sont d’ailleurs vraiment pas. Au nom de la cybersécurité, au nom de tous les investissements que la Commission thématique des systèmes d’information et le canton concèdent à l’informatique, je vous demande sincèrement d’accepter cette résolution qui explique au peuple vaudois comment ces données sont protégées par rapport à une divulgation de ces coordonnées privées. A ce moment, nous pourrons avoir une démarche cohérente entre les propos que nous entendons sur la cybersécurité et nos actes. Contrairement à M. Echenard, que je remercie d’être revenu sur le sujet, je pense que c’est l’Etat qui a décidé de « pouvoir » ouvrir ce fichier des données – potestatif – il incombe donc au Conseil d’Etat de protéger les données de ses concitoyens.

La discussion n’est pas utilisée.

La résolution est adoptée par 96 voix contre 2 et 13 abstentions.