Comprendre la loi fédérale suisse sur la protection des données (nLPD)
DPO Consulting Rejoint Grant Thornton
La loi suisse sur la protection des données (nLPD) constitue le cadre juridique de référence pour toute entreprise ou organisation opérant en Suisse ou traitant des données de résidents suisses. Entrée en vigueur le 1er septembre 2023, cette révision totale de la loi de 1992 renforce les droits des personnes concernées et impose des obligations strictes aux responsables de traitement. Que vous soyez une PME locale ou une multinationale, comprendre les exigences de cette loi suisse sur la protection des données est essentiel pour éviter des sanctions et préserver la confiance de vos clients.
La loi fédérale suisse sur la protection des données est la réglementation principale qui régit le traitement des données personnelles en Suisse. Elle remplace l'ancienne loi de 1992, devenue obsolète dans un contexte marqué par l'accélération de la transformation numérique, l'avènement du cloud et la multiplication des flux transfrontaliers de données. Elle est appliquée par le Préposé fédéral à la protection des données et à la transparence (PFPDT), qui dispose de pouvoirs d'enquête et de décision renforcés, pouvant notamment aboutir à une décision contraignante ordonnant la cessation d'un traitement.
Il n'existe pas de RGPD en Suisse. Le pays conserve son propre cadre légal, distinct de celui de l'Union européenne, même si les deux textes partagent de nombreux principes communs. La nLPD a d'ailleurs été conçue en partie pour préserver la reconnaissance d'adéquation accordée par la Commission européenne, condition indispensable à la libre circulation des données entre la Suisse et l'UE.
La LPD suisse s'applique à tout traitement de données personnelles produisant des effets en Suisse, même lorsque l'entreprise responsable est établie à l'étranger. Ainsi, une plateforme de commerce en ligne basée à Berlin ou à Londres, mais qui cible activement une clientèle suisse ou traite les données de résidents suisses, est soumise à la nLPD au même titre qu'une entreprise établie à Genève ou à Zurich. Elle répond à des enjeux de :
• Harmonisation internationale : la nLPD vise à rapprocher la Suisse des standards européens afin de faciliter les transferts de données transfrontaliers et de préserver la libre circulation des données avec l'UE.
• Protection renforcée : elle introduit des droits étendus pour les individus, comme le droit à la portabilité et un droit d'accès élargi.
• Responsabilisation : les organisations doivent pouvoir démontrer leur conformité, notamment via des mesures de protection des données dès la conception (privacy by design).
Enfin, la loi suisse sur la protection des données s'applique à :
• Toute entreprise ou organisation traitant des données personnelles de résidents suisses, même si elle est basée à l'étranger et dépourvue d'établissement local.
• Les données des employés, clients, fournisseurs, ou de toute autre personne physique dont les informations sont collectées ou traitées.
La nLPD repose sur un socle de principes directeurs, largement inspirés de ceux du RGPD et qui encadrent tout traitement de données personnelles, quels que soient le secteur d'activité ou la taille de l'organisation. Ces principes structurent l'ensemble des obligations concrètes détaillées plus loin dans ce guide.
Tout traitement de données doit reposer sur une base légale légitime et être effectué de manière loyale et transparente (obligations de transparences). En parallèle, les personnes concernées doivent être informées de l'utilisation de leurs données, alors que le traitement doit respecter leurs attentes raisonnables.
Les données personnelles ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes, communiquées à la personne concernée au moment de la collecte. Toute utilisation ultérieure incompatible avec ces finalités initiales est prohibée.
La collecte des données doit répondre à deux principes complémentaires :
• Proportionnalité : les données collectées doivent être pertinentes et limitées à ce qui est nécessaire pour atteindre les objectifs fixés.
• Minimisation : seules les données strictement nécessaires doivent être traitées et conservées, avec une revue régulière des volumes collectés.
Les responsables de traitement doivent garantir que les données personnelles sont exactes, mises à jour et complètes. Des données inexactes ou incomplètes doivent ainsi être rectifiées ou supprimées. Ce principe est étroitement lié au droit de rectification reconnu aux personnes concernées, détaillé plus loin dans ce guide.
La nLPD s'appuie, par ailleurs, sur les principes de :
• Privacy by design : la protection des données doit être intégrée dès la phase de conception des produits, services ou processus.
• Privacy by default : les paramètres par défaut doivent être les plus protecteurs pour les données personnelles de l'utilisateur.
Au-delà des principes généraux, la loi suisse sur la protection des données impose un ensemble d'exigences concrètes que les organisations doivent mettre en œuvre dans leur fonctionnement quotidien afin de garantir leur conformité.
Les personnes concernées doivent être informées, de manière claire et accessible, notamment via une politique de confidentialité, des éléments suivants :
• L'identité du responsable du traitement.
• Les finalités du traitement.
• Les catégories de données collectées.
• Les droits dont elles disposent (accès, rectification, suppression, opposition, etc.).
Cette obligation générale d'information est prévue à l'article 19 nLPD, qui impose également, lorsque les données sont transférées à l'étranger, d'indiquer le pays concerné et les garanties mises en place. Lorsque les données ne sont pas collectées directement auprès de la personne concernée, par exemple lors de l'achat d'un fichier ou de la constitution d'un profil à partir de sources publiques, l'information doit lui être communiquée au plus tard un mois après l'obtention des données, ou dès la première communication à un tiers si celle-ci intervient plus tôt.
La loi exige par ailleurs que cette information soit délivrée de manière concise, compréhensible et aisément accessible, ce qui implique de faire figurer les éléments essentiels dès le premier niveau de communication plutôt que de les diluer dans un document dense.
L'article 20 nLPD prévoit toutefois des exceptions à ce devoir d'informer, notamment lorsque la personne concernée dispose déjà de l'information, lorsque le traitement est prévu par la loi, lorsque fournir l'information exigerait des efforts disproportionnés, ou lorsque des intérêts prépondérants d'un tiers ou du responsable du traitement l'exigent.
Un devoir d'information spécifique s'applique également, en vertu de l'article 21 nLPD, lorsqu'une décision individuelle est prise exclusivement sur la base d'un traitement automatisé et produit des effets juridiques ou affecte significativement la personne concernée : celle-ci doit en être informée et peut demander qu'un être humain réexamine la décision.
La nLPD accorde aux individus plusieurs droits : droit d'accès, droit de rectification, droit à l'effacement, droit à la portabilité et droit d'opposition. Leur non-respect expose l'organisation à des réclamations auprès du PFPDT, voire à des actions civiles fondées sur la protection de la personnalité, ce qui justifie la mise en place de procédures internes dédiées, décrites dans la section consacrée aux étapes pratiques de mise en conformité.
La nLPD impose également un certain nombre d’obligations notamment en matière de sécurité. Les entreprises doivent mettre en place des mesures techniques et organisationnelles, du type chiffrement, pseudonymisation et autres mesures proportionnées au risque, afin de protéger les données contre les accès non autorisés, les pertes ou les destructions.
En matière de confidentialité, les employés et sous-traitants ayant accès aux données doivent être liés par des accords de confidentialité.
En cas de violation de la sécurité des données susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, le responsable de traitement doit en informer le PFPDT dans les meilleurs délais.
Contrairement au RGPD, qui fixe un délai chiffré de 72 heures, la nLPD retient une approche plus souple, sans délai précis mais sans tolérance pour un retard injustifié. Les personnes concernées elles-mêmes doivent également être informées sans délai lorsque la violation est susceptible de leur causer un préjudice ou lorsque le PFPDT l'exige.
L'évaluation du « risque élevé » repose sur plusieurs facteurs : la nature des données concernées, le nombre de personnes touchées et les conséquences potentielles pour les personnes concernées, telles qu'une usurpation d'identité ou un préjudice financier.
Mesures de documentation et de responsabilité
Elles doivent ainsi tenir des registres pour documenter leurs activités de traitement avec des allègements pour les PME dont le traitement présente un risque limité. En pratique, cette exemption de registre concerne les entreprises et organisations de droit privé employant moins de 250 collaborateurs, à condition que leurs traitements présentent un risque limité d'atteinte à la personnalité des personnes concernées. Toutefois, dès qu'une structure traite des données sensibles à grande échelle ou pratique le profilage à risque élevé, elle doit tenir un registre quelle que soit sa taille.
Elles doivent également réaliser une analyse d'impact relative à la protection des données avant tout traitement susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, notamment en cas de traitement à grande échelle de données sensibles, de surveillance systématique ou de recours à des technologies nouvelles comme l'intelligence artificielle. Lorsqu'un délégué à la protection des données a été désigné, il doit être consulté lors de la réalisation de cette analyse, ce qui constitue l'un des arguments en faveur de sa nomination même en l'absence d'obligation légale stricte.
Par ailleurs, bien que la nLPD ne l’impose pas systématiquement, la désignation d'un délégué à la protection des données est recommandée pour les organisations traitant des données sensibles ou à grande échelle.
DPO consulting se tient à votre disposition pour vous accompagner en tant que DPO externalisé de la TPE-PME à l’entreprise plurinationale Groupe. N’hésitez pas à faire votre demande de devis.
A lire : Externaliser son DPO, un gage de conformité et de confiance
Le droit suisse de la protection des données accorde aux personnes physiques un ensemble de prérogatives pour garder le contrôle sur leurs données personnelles.
Les personnes ont le droit d'être informées de manière claire et transparente sur l'identité du responsable du traitement, les finalités poursuivies, les catégories de données collectées, la durée de conservation et leurs droits. Ce droit se traduit concrètement par la mise à disposition d'une déclaration de protection des données, généralement accessible depuis un site internet, une application ou un formulaire de collecte, dont le contenu doit respecter les exigences détaillées à la section précédente relative aux obligations de transparence.
Elles peuvent demander au responsable du traitement si ses données personnelles sont traitées, quelles données sont détenues à son sujet et à quelles finalités elles sont utilisées. Selon les cas, ce droit permet également d'obtenir l'origine des données lorsqu'elles n'ont pas été collectées directement auprès de la personne, la durée de conservation prévue et les destinataires auxquels elles sont communiquées. La réponse doit en principe intervenir dans un délai raisonnable, généralement estimé à trente jours. Dans des cas limités, la réponse peut être refusée ou restreinte.
Si une personne constate que ses données sont inexactes ou incomplètes, elle peut en exiger la correction sans délai injustifié. Lorsque l'exactitude ou l'inexactitude d'une donnée ne peut être établie avec certitude, la personne concernée peut demander qu'une mention de son caractère litigieux soit ajoutée, afin d'éviter qu'une information contestée continue à être traitée comme si elle était avérée.
Dans certains cas, les individus peuvent demander la suppression de leurs données, notamment lorsqu'elles ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées, lorsque la personne retire son consentement, ou lorsque les données ont été traitées illégalement. Cette suppression s'obtient le plus souvent par la voie d'une action en protection de la personnalité, fondée sur le droit civil.
Les personnes peuvent recevoir leurs données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable du traitement. Ce droit, introduit par les articles 28 et 29 nLPD, est toutefois soumis à des conditions plus étroites qu'il n'y paraît : il ne s'applique que lorsque le traitement est automatisé et repose sur le consentement de la personne concernée ou est en lien avec un contrat. La remise ou la transmission des données doit en principe être gratuite, mais le Conseil fédéral peut prévoir des exceptions, notamment lorsque cette remise exigerait des efforts disproportionnés de la part du responsable du traitement.
Les individus peuvent s'opposer au traitement de leurs données pour des motifs légitimes, notamment lorsque le traitement repose sur l'intérêt légitime du responsable ou vise des finalités de marketing direct. En droit suisse, ce droit se traduit concrètement par la possibilité, prévue à l'article 32 nLPD, de demander l'interdiction d'un traitement déterminé ou d'une communication déterminée de données personnelles à des tiers. Ce droit n'est toutefois pas absolu : il peut être limité par un intérêt prépondérant, public ou privé, du responsable du traitement, qui devra alors démontrer que cet intérêt prévaut sur celui de la personne concernée pour continuer à traiter les données malgré l'opposition.
Se conformer à la loi suisse sur la protection des données ne s'improvise pas : elle nécessite une démarche structurée, impliquant plusieurs services de l'organisation, ainsi qu’un suivi dans la durée plutôt qu'un projet ponctuel réalisé une fois pour toutes.
Il est fortement recommandé aux entreprises et organisations de:
• Cartographier les données pour identifier quelles données personnelles sont collectées, traitées et stockées.
• Classer les données pour distinguer les données sensibles (santé, origine ethnique, etc.) des données non sensibles.
• Documenter les flux de données pour comprendre comment les données circulent au sein de l'organisation et avec des tiers.
Cette phase d'inventaire, souvent sous-estimée, constitue pourtant le socle de toute la démarche de conformité, car elle alimente le registre des activités de traitement, oriente les analyses d'impact et permet d'identifier les traitements à risque nécessitant une attention prioritaire.
Mettre à jour les politiques et procédures internes
• La politique de confidentialité pour garantir la mise à disposition d’une politique claire, lisible et à jour, expliquant les pratiques de traitement des données.
• Des procédures de réponse aux demandes pour répondre aux demandes d'accès, de rectification ou de suppression dans des délais raisonnables.
• La gestion des consentements pour s'assurer que les consentements recueillis sont libres, spécifiques, éclairés et non ambigus.
• La sensibilisation de toutes les parties prenantes internes.
• La clarification des rôles et des responsabilités.
• La gestion des incidents.
• Des audits réguliers pour vérifier périodiquement que les mesures de conformité sont respectées.
• La réalisation de tests de sécurité pour évaluer la robustesse des mesures en place.
• La mise à jour continue des politiques et procédures en fonction des évolutions législatives ou technologiques.
Un audit annuel, interne ou confié à un prestataire externe, permet de vérifier que le registre des traitements reste à jour, que les délais de réponse aux demandes des personnes concernées sont respectés et que les mesures de sécurité mises en place restent adaptées à l'évolution des risques, notamment ceux liés à l'intelligence artificielle ou à l'externalisation croissante des systèmes d'information dans le cloud.
Beaucoup d'organisations sous-estiment encore les exigences propres à la LPD suisse, pensant à tort que la conformité au RGPD suffit. Éviter les pièges courants ci-dessous permet de limiter le risque de sanctions et d'atteinte à la réputation.
Le principal écueil consiste à ne pas informer clairement les individus sur l'utilisation de leurs données. Pour y remédier, il convient de publier une politique de confidentialité détaillée et accessible, et de fournir des informations claires dès la collecte.
Un autre manquement fréquent consiste à ne pas répondre aux demandes d'accès, de rectification ou de suppression dans des délais raisonnables. La solution consiste à mettre en place des procédures internes permettant de traiter ces demandes rapidement et efficacement.
Ne pas mettre en œuvre des mesures de sécurité adéquates (absence de chiffrement, mots de passe faibles, etc.) expose directement l'organisation à un risque accru de violation de données. Il est donc essentiel d'adopter des mesures techniques et organisationnelles proportionnées aux risques, comme le chiffrement ou l'authentification à deux facteurs.
Par ailleurs, les violations de données résultant d'une sécurité insuffisante (comptes d'accès partagés, absence de chiffrement des sauvegardes, défaut de mise à jour des systèmes) restent l'une des principales causes d'incidents notifiés au PFPDT, avec des conséquences réputationnelles souvent plus lourdes que la sanction elle-même.
Ne pas vérifier que les sous-traitants respectent la LPD suisse constitue un risque souvent sous-estimé. Pour s'en prémunir, il est recommandé d'inclure des clauses contractuelles imposant aux sous-traitants de se conformer à la loi, et de réaliser des audits réguliers.
Transférer des données vers des pays sans niveau de protection adéquat, sans garanties suffisantes, expose l'organisation à un risque de non-conformité significatif. Il convient donc de recourir à des mécanismes de transfert reconnus, comme des clauses contractuelles types ou des règles d'entreprise contraignantes (Binding Corporate Rules).
Toute organisation, suisse ou étrangère, qui traite des données personnelles de résidents suisses doit s'y conformer : cela inclut les entreprises basées en Suisse ainsi que les entreprises étrangères ciblant des clients suisses ou traitant leurs données, même sans établissement local.
Les personnes physiques responsables, le plus souvent des dirigeants, peuvent être condamnées à une amende pouvant atteindre 250 000 francs suisses en cas de violation intentionnelle de leurs obligations. Le PFPDT peut par ailleurs ordonner des mesures correctives administratives, la poursuite pénale relevant des autorités cantonales.
La nomination d'DPO n’est pas obligatoire pour toutes les organisations. Elle est toutefois fortement recommandée pour celles qui traitent des données sensibles à grande échelle ou dont l'activité principale repose sur des traitements à haut risque.
Les transferts de données vers l'étranger sont autorisés si le pays de destination garantit un niveau de protection adéquat, reconnu par le Conseil fédéral, ou fournit des garanties appropriées (clauses contractuelles typesn règles d'entreprise contraignantes…). Faute d'un mécanisme équivalent au RGPD en Suisse pour ces situations, des dérogations peuvent aussi s'appliquer, comme le consentement explicite de la personne concernée, l'exécution d'un contrat ou la sauvegarde d'un intérêt public prépondérant.
Il est recommandé de réviser annuellement les politiques et procédures de protection des données, de les mettre à jour après tout changement significatif (nouvelle activité de traitement, évolution législative) et de réaliser un audit complet au moins tous les deux ans pour s'assurer que les mesures de conformité restent efficaces.
La nLPD s'applique aux données des employés, qu'elles soient collectées avant, pendant ou après la relation de travail. Les employeurs doivent les informer sur les données collectées et leur utilisation, respecter les principes de proportionnalité et de minimisation, et garantir la sécurité et la confidentialité de ces données, y compris pour les données sensibles comme les dossiers médicaux, les évaluations de performance ou les données de surveillance en entreprise, qui appellent une vigilance renforcée.
.png)
.svg)
%20(1).png)
