1 Les organes fédéraux ne sont en droit de traiter des données personnelles que s’il existe une base légale.
2 La base légale doit être prévue dans une loi au sens formel dans les cas suivants:
- a.
il s’agit d’un traitement de données sensibles;
- b.
il s’agit d’un profilage;
- c.
la finalité ou le mode du traitement de données personnelles est susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée.
3 Pour les traitements de données personnelles visés à l’al. 2, let. a et b, une base légale prévue dans une loi au sens matériel suffit si les conditions suivantes sont réunies:
- a.
le traitement est indispensable à l’accomplissement d’une tâche définie dans une loi au sens formel;
- b.
la finalité du traitement ne présente pas de risques particuliers pour les droits fondamentaux de la personne concernée.
4 En dérogation aux al. 1 à 3, les organes fédéraux peuvent traiter des données personnelles si l’une des conditions suivantes est remplie:
- a.
le Conseil fédéral a autorisé le traitement, considérant que les droits des personnes concernées ne sont pas menacés;
- b.
la personne concernée a consenti au traitement en l’espèce ou a rendu ses données personnelles accessibles à tout un chacun et ne s’est pas opposée expressément au traitement;
- c.
le traitement est nécessaire pour protéger la vie ou l’intégrité corporelle de la personne concernée ou d’un tiers et il n’est pas possible d’obtenir le consentement de la personne concernée dans un délai raisonnable.