Comment la loi sur la protection des données affecte votre entreprise en Suisse

Nouvelle loi suisse sur la protection des données (nLPD)

Ce que vous devez savoir sur les changements récents

La loi fédérale sur la protection des données (LPD) suisse a été révisée et sera mise en vigueur le 1er septembre 2023. Cette révision totale a été adoptée par le Parlement en septembre 2020, et la Confédération a laissé suffisamment de temps aux entreprises et à leurs responsables de la protection des données pour se préparer à ce changement. Dans cet article, nous présentons les principales modifications et obligations qu'implique la nouvelle loi suisse sur la protection des données.

Champ d'application

La LPD s'applique au traitement des données personnelles par des particuliers et des organes fédéraux. Les entreprises, associations et particuliers sont concernés. Bien que les entreprises et les associations ne puissent généralement pas se soustraire à l'application de cette loi, les particuliers en sont exemptés lorsqu'ils traitent des données personnelles exclusivement à des fins personnelles. Toutefois, l'exception «à des fins personnelles» ne s'applique qu'aux traitements de données relevant strictement de la sphère privée et familiale. Les exploitants de sites Internet privés sont donc régulièrement concernés par la nouvelle LPD.

Définitions

Le terme «données personnelles» désigne toutes les données qui se réfèrent à une personne physique identifiée ou identifiable. Dans la pratique, ce terme peut couvrir un éventail très large de données et, selon les circonstances, il peut même s'agir d'une simple adresse IP. La notion de «traitement» a également un sens très large. Il inclut notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, la suppression ou la destruction de données. La LPD ne s'applique plus lorsque des données concernant des personnes morales sont traitées, mais les collaborateurs d'une entreprise sont toujours protégés par la LPD sous la nouvelle législation.

Obligations des responsables du traitement de données

La LPD impose de nombreuses obligations aux responsables du traitement de données, certaines étant nouvelles et d'autres déjà existantes. Les principaux points sont les suivants :

1. Les données personnelles ne peuvent être traitées que de manière licite, et le traitement doit être effectué de bonne foi. Les données ne peuvent être traitées que pour la finalité pour laquelle elles ont été collectées et cette finalité doit être reconnaissable pour la personne concernée (limitation de la finalité).

2. Les données personnelles doivent être effacées ou anonymisées dès qu'elles ne sont plus nécessaires à la finalité du traitement. Les entreprises et organisations de 250 collaborateurs et plus doivent tenir un inventaire de tous les traitements effectués.

3. Les entreprises de moins de 250 collaborateurs en sont en principe dispensées, sauf si des données personnelles dignes de protection sont traitées à grande échelle ou si un profilage à haut risque est effectué.

4. Lorsque des données personnelles sont traitées, les personnes concernées doivent être informées de l'étendue et de la finalité du traitement des données. Cela se fait généralement par le biais d'une déclaration de protection des données, aussi appelée déclaration ou charte de confidentialité.

5. Les personnes concernées ont le droit d'accéder à leurs données

Comment se conformer à la nouvelle loi suisse sur la protection des données sur son site Internet

Avec la nouvelle loi fédérale suisse sur la protection des données (LPD), les sites internet doivent respecter plusieurs obligations en matière de protection des données personnelles de leurs utilisateurs. Voici quelques points à prendre en compte pour être en conformité avec la LPD :

1. Informer les utilisateurs :
Les sites internet doivent informer clairement les utilisateurs sur les données personnelles collectées, leur utilisation et leur traitement. Cette information doit être présentée de manière claire et compréhensible pour les utilisateurs.

2. Consentement de l'utilisateur :
Le traitement des données personnelles doit être effectué sur la base du consentement exprès et informé de l'utilisateur. Les sites internet doivent donc obtenir le consentement des utilisateurs pour collecter et traiter leurs données personnelles.

3. Sécurité des données :
Les sites internet doivent prendre les mesures techniques et organisationnelles nécessaires pour garantir la sécurité des données personnelles des utilisateurs, notamment en matière de stockage et de transmission des données.

4. Droit d'accès et de rectification :
Les utilisateurs ont le droit d'accéder à leurs données personnelles collectées par les sites internet et de les rectifier si elles sont inexactes ou incomplètes. Les sites internet doivent donc mettre en place les moyens nécessaires pour permettre aux utilisateurs d'exercer ces droits.

5. Durée de conservation :
Les données personnelles collectées ne doivent pas être conservées plus longtemps que nécessaire. Les sites internet doivent définir des durées de conservation précises pour chaque type de données collectées.

6. Sous-traitance :
Si les sites internet font appel à des sous-traitants pour le traitement des données personnelles, ils doivent s'assurer que ces sous-traitants respectent également les obligations de la LPD.

En résumé, les sites internet doivent respecter les droits des utilisateurs en matière de protection des données personnelles et mettre en place les mesures nécessaires pour garantir la sécurité de ces données.