Vous utilisez un navigateur obsolète, qui risque d’engendrer des problèmes techniques ou d’affichage.
OK, FERMER
Avec la révision de loi fédérale sur la protection des données (nLPD), des dispositions importantes relatives au traitement des données seront modifiées à partir de 2023. À l’avenir, les entreprises seront soumises à des règles plus strictes. Elles devront adapter leurs directives et déclarations de protection des données actuelles jusqu’à l’entrée en vigueur de la nouvelle loi qui interviendra le 1er septembre 2023.
Il s’agit, d’une part, d’adapter la loi sur la protection des données aux nouvelles conditions technologiques et sociales (cloud computing, Big Data, réseaux sociaux, objets connectés): l’autodétermination des personnes concernées à l’égard de leurs données doit être renforcée. D’autre part, la révision harmonise la LPD avec la législation européenne en matière de protection des données: il s’agit de veiller à ce que l’UE continue de reconnaître la Suisse comme un État tiers ayant un niveau adéquat de protection des données afin qu’un échange aisé des données entre la Suisse et l’UE reste possible à l’avenir.
Si la Commission européenne ne reconnaissait plus le niveau suisse de protection des données comme adéquat, les entreprises suisses subiraient à l’avenir des désavantages concurrentiels car l’échange de données avec les entreprises de l’UE serait plus compliqué.
La nouvelle LPD devrait entrer en vigueur le 1er septembre 2023, en même temps que l’ordonnance relative à la loi fédérale sur la protection des données (OLPD) que le Conseil fédéral doit encore édicter.
Jusqu’à l’entrée en vigueur de la LPD révisée.
La LPD révisée ne prévoit aucun délai de transition.
Les compétences du préposé fédéral à la protection des données et à la transparence (PFPDT) en matière d’application de la nLPD ont été élargies. Le PFPDT peut ouvrir, d’office ou sur dénonciation, une enquête contre une entreprise et, en cas de violation des dispositions de protection des données, ordonner des mesures fortes, telles que la modification ou l’interruption du traitement des données, voire l’effacement des données.
Par ailleurs, la nLPD met à la disposition des personnes concernées des moyens de recours de droit civil leur permettant de faire valoir leurs droits. Parallèlement, le code de procédure civil (CPC) a été modifié et il prévoit la gratuité des procédures judiciaires correspondantes.
En septembre 2020, à l’issue d’un processus législatif de près de quatre ans, le Conseil national et le Conseil des États ont adopté la nouvelle loi sur la protection des données (nLPD). Sur de nombreux points, mais pas sur tous, cette loi sur la protection des données révisée (nLPD) s’aligne sur le Règlement européen sur la protection des données (RGPD). Toutefois, il subsiste des différences substantielles.
En cas de violation intentionnelle des obligations d’informer, de renseigner, de collaborer ou des devoirs de diligence prévus par la nLPD, les particuliers peuvent être punis d’une amende de 250 000 CHF au plus. En cas d’infractions commises dans une entreprise, cette dernière peut se voir infliger une amende jusqu’à 50 000 CHF lorsque l’identification des personnes responsables entraînerait des coûts disproportionnés – et que l’amende encourue par ces personnes ne dépasserait pas 50 000 CHF.
Il s’agit d’une différence importante par rapport au RGPD qui inflige des amendes beaucoup plus élevées aux entreprises, et non aux personnes physiques.
LPD désigne la loi suisse sur la protection des données (loi fédérale sur la protection des données). nLPD désigne la nouvelle loi sur la protection des données entièrement révisée par opposition à la LPD actuellement en vigueur.
OLPD est l’abréviation officielle de l’ordonnance du Conseil fédéral relative à la LPD. L’ordonnance contient des dispositions d’exécution ou de détail. La version définitive de la nouvelle ordonnance n’est pas encore disponible. Le Conseil fédéral a envoyé le projet de l’ordonnance en consultation le 23 juin 2021.
RGPD désigne le Règlement général sur la protection des données de l’UE du 27 avril 2016. Le RGPD est directement applicable dans tous les États membres de l’UE depuis le 25 mai 2018. Bien qu’il s’agisse d’un règlement européen, il est également applicable, à certaines conditions, aux entreprises suisses.
À la différence du RGPD, qui exige une base juridique pour chaque traitement de données, la manière de traiter les données ne change pas fondamentalement avec la nLPD. Comme jusqu’ici, le traitement des données personnelles par des entreprises privées ne requiert – contrairement au RGPD – aucun consentement ou autre motif justificatif, pour autant
Un consentement exprès n’est requis qu’en cas de traitement de données sensibles et, désormais, en cas de profilage à risque élevé.
Oui, en ce qui concerne le champ d’application territorial, la nouvelle LPD se base sur le principe dit du lieu du résultat. La LPD est également applicable aux entreprises étrangères actives sur le marché suisse ou dont le traitement des données déploie des effets en Suisse, tout comme le RGPD s’applique aussi aux entreprises suisses opérant dans l’espace de l’UE.
Les entreprises ayant leur siège à l’étranger doivent désigner un représentant en Suisse lorsqu’elles traitent régulièrement et à grande échelle des données concernant des personnes en Suisse, en rapport avec l’offre de biens ou services ou le suivi du comportement, et que le traitement présente un risque élevé pour la personnalité des personnes concernées.
Inversement, selon la LPD, les entreprises suisses doivent toujours nommer un délégué à la protection des données lorsqu’elles traitent des données personnelles concernant des ressortissants d’États membres de l’UE.
Entrent dans cette catégorie les entreprises qui traitent un grand nombre de données personnelles ou de données sensibles, font du profilage, exploitent des boutiques en ligne, génèrent des décisions individuelles automatisées ou transmettent des données personnelles à l’étranger (en dehors de l’UE). Pas seulement quand il y a un risque élevé.
Cela dépend. Il s’agit de savoir si, en raison de son activité, l’entreprise fait partie des entreprises particulièrement concernées, et dans quelle mesure elle s’est déjà adaptée aux nouveaux développements. Les entreprises dont le traitement des données est déjà conforme au RGPD, n’ont quasiment plus besoin de procéder à des adaptations. En revanche, celles qui exercent leur activité uniquement en Suisse et n’ont rien entrepris jusqu’ici seraient bien avisées d’effectuer sans tarder une analyse des écarts.
Non, contrairement à ce que prévoit le RGPD, la nomination d’un conseiller à la protection des données est facultative, mais elle présente certains avantages. D’une part, le conseiller est l’interlocuteur des collaborateurs et des clients (pour l’exercice de leurs droits en tant que personnes concernées) et des autorités pour les questions liées à la protection des données. D’autre part, l’obligation de consulter le PFPDT en relation avec les analyses d’impact en cas de risque élevé tombe si le responsable du traitement a consulté son conseiller à la protection des données.
Il faut se poser la question suivante: l’entreprise dispose-t-elle de compétences en la matière, p. ex. du fait de l’existence d’un conseiller à la protection des données compétent selon l’ancienne LPD ou d’un service juridique? Si ce n’est pas le cas, nous vous conseillons vivement de faire appel à une assistance externe.
Vous trouverez des instructions et des modèles notamment sur les sites suivants:
Heike Gross est Content Manager. Elle mène ses activités dans le domaine de cybersécurité, du logement, de la mobilité et bien d’autres sujets intéressants.
