Nouvelle loi sur la protection des données à partir du 1er septembre 2023

• Quand la nouvelle loi entrera-t-elle en vigueur?
  
  DLa nouvelle loi sur la protection des données (LPD) ainsi que les ordonnances y afférentes (OPDo et OCPD) entreront en vigueur en Suisse le 1er septembre 2023.

• Qu’est-ce qui a changé?
  
  Le Conseil fédéral a adapté le projet concernant l’ordonnance sur les certifications en matière de protection des données (OPDo). En particulier, les obligations d’information pour les responsables ont été révisées et certaines exemptions ont été introduites pour des intervenants privés. Le droit d’accès a par ailleurs été simplifié, et l’obligation de documentation supprimée.

• Quel est l’objectif de cette révision totale?
  
  La mise à jour de la loi vise à garantir une meilleure protection des données personnelles en Suisse, en phase avec les avancées technologiques récentes. Les consommateurs et consommatrices bénéficieront d’un plus grand contrôle sur leurs données, tout en profitant d’un processus de collecte plus transparent.

• Durée de conservation des données
  
  Les procès-verbaux de journalisation seront archivés pendant au moins un an. Il est essentiel de documenter l’ensemble des mesures et des processus instaurés au sein de l’entreprise en vue de se conformer à la législation relative à la protection des données. Ceci garantit une préparation optimale en cas de contrôles par les autorités concernées.

Détail des modifications

Les principes du traitement des données demeurent pour l’essentiel inchangés, les méthodes précédemment autorisées devraient donc, dans la majorité des cas, être conformes aux nouvelles réglementations sur la protection des données. Il est essentiel que le traitement des données personnelles par les entreprises se fasse uniquement de manière licite, en respectant les principes de la bonne foi et de la proportionnalité. L’élément clé est la collecte de données: elle doit avoir un but clairement défini et celui-ci doit être clairement identifiable pour l’individu concerné.

Une entreprise qui traite des données en contradiction avec ces principes peut porter atteinte à la vie privée de la personne en question. Cependant, certaines situations exceptionnelles, telles qu’un intérêt privé ou public majeur (comme le traitement de données inhérent à un contrat), peuvent légitimer de telles démarches.

Liste des principaux changements:

• Données biométriques
  
  UNotamment les données biométriques et génétiques sont désormais considérées comme sensibles.
  
  
  
  
• Obligation d’information
  
  Les entreprises devront maintenant fournir une information plus détaillée. Non seulement elles devront informer la personne concernée sur la collecte de données sensibles, mais, nouveauté notable, elles devront également le faire pour toute collecte de données, même si celle-ci n’est pas effectuée directement auprès de la personne en question.
  
  

• Analyse d’impact
  
  Tout traitement de données présentant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée oblige les entreprises à procéder à une analyse d’impact et en conserver une documentation.

• Registre obligatoire
  
  Les entreprises sont tenues de consigner et de documenter toutes leurs activités de traitement des données au sein d’un registre. Seules les PME présentant un faible risque d’enfreindre la protection des données peuvent se voir exemptées de cette exigence.
  
  

• Protection des données à caractère personnel
  
  Les personnes morales en seront exclues à l’avenir.
  
  

• Protection des données dès la conception («Privacy by Design») et protection des données par défaut («Privacy by Default»)
  
  Désormais, les mesures techniques et organisationnelles de protection devront être intégrées dès la planification du projet afin de garantir le respect des réglementations liées à la protection des données. De plus, seules les données personnelles nécessaires à l’objectif visé pourront être collectées par défaut. Contrairement au règlement général sur la protection des données (RGPD) en vigueur dans l’Union européenne, la Suisse ne requiert pas l’affichage de bannières concernant les cookies. Ainsi, si votre entreprise ne relève pas du RGPD, vous n’avez pas l’obligation d’ajouter une bannière relative aux cookies sur votre site.

• Annonce immédiate en cas de violation
  
  Face à une violation de la législation sur la protection des données, il convient d’en notifier sans délai le préposé fédéral à la protection des données et à la transparence (PFPDT).
  
  

• Profilage
  
  Le terme «profilage» désigne tout traitement automatisé de données personnelles visant à évaluer des caractéristiques personnelles spécifiques d’une personne physique. Ce nouveau traitement des données est désormais codifié dans la loi.