Glossaire de la protection des données

Analyse d'impact relative à la protection des données

Aussi appelé : AIPD, DPIA, DSFAL'analyse préalable d'un traitement susceptible d'entraîner un risque élevé : description, évaluation des risques et mesures. Si le risque reste élevé, le PFPDT doit être consulté.Art. 22-23 LPD ; art. 35-36 RGPDEn savoir plus

Anonymisation

Rendre les données telles qu'elles ne permettent plus, par des moyens raisonnables, de remonter à une personne. Les données anonymes ne sont plus des données personnelles.Art. 6, al. 4, LPD ; considérant 26 RGPDEn savoir plus

Atteinte à la personnalité

Un traitement qui viole les principes de la loi, qui a lieu contre la volonté expresse de la personne ou qui communique à des tiers des données sensibles. Il est illicite sauf motif justificatif.Art. 30 LPDEn savoir plus

Base légale

Dans le RGPD, l'un des six motifs qui rendent licite tout traitement : consentement, contrat, obligation légale, intérêts vitaux, intérêt public, intérêt légitime. La LPD ne l'exige pas pour chaque traitement.Art. 6 RGPD ; art. 6 et 31 LPDEn savoir plus

Certification

La vérification facultative de systèmes, produits, services ou organisations par un organisme accrédité. Pour un système, un produit ou un service certifié et utilisé pour l'usage prévu, elle dispense de l'obligation d'effectuer une analyse d'impact.Art. 13 et 22, al. 5, LPD ; art. 42 RGPDEn savoir plus

Clauses contractuelles types

Aussi appelé : Standard Contractual Clauses, SCCUn contrat standard par lequel le destinataire à l'étranger s'engage à protéger les données, pour les communiquer vers un État sans protection adéquate. Le PFPDT reconnaît celles de la Commission européenne avec les adaptations pour la Suisse.Art. 16, al. 2, let. d, LPD ; art. 46 RGPDEn savoir plus

Code de conduite

Des règles élaborées par des associations professionnelles ou de branche, qui peuvent être soumises au PFPDT pour avis. Qui respecte un code fondé sur une analyse d'impact, qui prévoit des mesures de protection et a été soumis au PFPDT, est dispensé de sa propre analyse d'impact.Art. 11 et 22, al. 5, LPD ; art. 40-41 RGPD

Communication

Le fait de transmettre des données personnelles ou de les rendre accessibles, par exemple en les envoyant à un fournisseur ou en les publiant.Art. 5, let. e, LPD

Conseiller à la protection des données

Aussi appelé : Délégué à la protection des données, DPOLa personne interne ou externe qui conseille l'entreprise et veille au respect de la loi, de manière indépendante. Avec la LPD, il est facultatif pour les personnes privées ; avec le RGPD, il est obligatoire dans certains cas.Art. 10 LPD ; art. 37-39 RGPDEn savoir plus

Consentement

La manifestation de volonté libre, pour un ou plusieurs traitements déterminés et après une information adéquate. Il doit être exprès pour les données sensibles et le profilage à risque élevé.Art. 6, al. 6-7, LPD ; art. 4 point 11 et 7 RGPDEn savoir plus

Data Privacy Framework

Aussi appelé : Swiss-U.S. DPFLe cadre par lequel les entreprises américaines se certifient auprès du Département du commerce des États-Unis. Depuis le 15 septembre 2024, les données peuvent aller sans autres garanties aux entreprises certifiées aussi pour la Suisse.Art. 16, al. 1, LPD ; annexe 1 OPDoEn savoir plus

Décision individuelle automatisée

Une décision prise exclusivement par un système automatisé qui produit des effets juridiques pour une personne ou l'affecte de manière significative. La personne doit être informée et peut demander qu'elle soit revue par une personne physique.Art. 21 LPD ; art. 22 RGPDEn savoir plus

Devoir d'informer

Aussi appelé : Déclaration de protection des données, politique de confidentialitéL'obligation d'informer les personnes lors de la collecte de leurs données : l'identité du responsable du traitement, la finalité, les destinataires et les États étrangers où vont les données.Art. 19-21 LPD ; art. 13-14 RGPDEn savoir plus

Donnée personnelle

Toute information concernant une personne physique identifiée ou identifiable. Depuis le 1er septembre 2023, la LPD ne protège plus les données des personnes morales.Art. 5, let. a, LPD ; art. 4 point 1 RGPDEn savoir plus

Données personnelles sensibles

Aussi appelé : Catégories particulières de données (RGPD), données sensiblesDonnées sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales ; la santé, la sphère intime, l'origine raciale ou ethnique ; données génétiques ; données biométriques identifiant une personne de manière univoque ; poursuites ou sanctions pénales et administratives ; mesures d'aide sociale.Art. 5, let. c, LPD ; art. 9-10 RGPDEn savoir plus

Droit à la portabilité des données

Le droit de recevoir dans un format électronique couramment utilisé les données que l'on a communiquées à un responsable du traitement, ou de les faire transmettre à un autre, lorsqu'elles sont traitées de manière automatisée avec le consentement ou pour un contrat.Art. 28-29 LPD ; art. 20 RGPDEn savoir plus

Droit d'accès

Le droit de toute personne de savoir si un responsable du traitement traite des données la concernant et d'en recevoir une copie avec les informations principales, en règle générale gratuitement et dans les 30 jours.Art. 25-26 LPD ; art. 16-19 OPDo ; art. 15 RGPDEn savoir plus

Limitation des finalités

Les données sont collectées pour une finalité déterminée et reconnaissable pour la personne concernée, puis traitées seulement de manière compatible avec cette finalité.Art. 6, al. 3, LPD ; art. 5 par. 1 let. b RGPD

Mesures techniques et organisationnelles

Aussi appelé : MTO, TOMLes mesures par lesquelles le responsable du traitement et le sous-traitant garantissent une sécurité des données adéquate par rapport au risque : confidentialité, disponibilité, intégrité et traçabilité.Art. 8 LPD ; art. 1-6 OPDo ; art. 32 RGPDEn savoir plus

Motif justificatif

Ce qui rend licite un traitement qui porte atteinte à la personnalité : le consentement de la personne, un intérêt prépondérant privé ou public, ou la loi.Art. 31 LPDEn savoir plus

Personne concernée

La personne physique dont les données personnelles font l'objet d'un traitement : un client, un collaborateur, un candidat, un visiteur du site.Art. 5, let. b, LPD ; art. 4 point 1 RGPD

PFPDT

Aussi appelé : Préposé fédéral à la protection des données et à la transparence, EDÖB, IFPDT, FDPICL'autorité fédérale qui surveille l'application de la LPD par les personnes privées et les organes fédéraux. Elle mène des enquêtes et peut ordonner des mesures, mais n'inflige pas d'amendes.Art. 43-58 LPDEn savoir plus

Principe de proportionnalité

Aussi appelé : Minimisation des donnéesOn ne traite que les données nécessaires à la finalité, de la manière et pendant la durée nécessaires. Les données qui ne sont plus nécessaires doivent être détruites ou anonymisées.Art. 6, al. 2 et 4, LPD ; art. 5 par. 1 let. c et e RGPDEn savoir plus

Profilage

Le traitement automatisé de données personnelles pour évaluer certains aspects d'une personne, notamment le rendement au travail, la situation économique, la santé, les préférences, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements.Art. 5, let. f, LPD ; art. 4 point 4 RGPDEn savoir plus

Profilage à risque élevé

Un profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité. Il n'existe pas dans le RGPD.Art. 5, let. g, et 6, al. 7, let. b, LPDEn savoir plus

Protection adéquate

Aussi appelé : AdéquationLa reconnaissance, par le Conseil fédéral (pour la LPD) ou par la Commission européenne (pour le RGPD), qu'un État protège les données de manière adéquate : vers cet État, les données peuvent aller sans autres garanties.Art. 16, al. 1, LPD ; annexe 1 OPDo ; art. 45 RGPDEn savoir plus

Protection des données dès la conception et par défaut

Aussi appelé : Privacy by design, privacy by defaultL'obligation d'aménager un traitement, dès sa planification, de manière à respecter la loi, et de paramétrer les systèmes pour qu'ils ne traitent que le minimum nécessaire, à moins que la personne n'en dispose autrement.Art. 7 LPD ; art. 25 RGPDEn savoir plus

Pseudonymisation

Remplacer les noms et les identifiants par un code, en conservant la clé séparément. Pour qui détient la clé, les données restent personnelles ; c'est une mesure de sécurité.Art. 4 point 5 RGPDEn savoir plus

Registre des activités de traitement

Aussi appelé : Registre des traitementsLa liste des activités portant sur des données personnelles, avec au moins la finalité, les catégories de personnes et de données, les destinataires, la durée de conservation, les mesures de sécurité et les communications à l'étranger.Art. 12 LPD ; art. 24 OPDo ; art. 30 RGPDEn savoir plus

Représentant en Suisse

L'interlocuteur en Suisse que doivent désigner certains responsables du traitement ayant leur siège à l'étranger qui traitent des données de personnes en Suisse. Le RGPD connaît une figure semblable, le représentant dans l'UE.Art. 14-15 LPD ; art. 27 RGPDEn savoir plus

Responsable du traitement

La personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement. Pour les données de ses clients et de ses collaborateurs, c'est en règle générale l'entreprise elle-même.Art. 5, let. j, LPD ; art. 4 point 7 RGPD

Responsables conjoints du traitement

Deux responsables du traitement ou plus qui déterminent ensemble les finalités et les moyens d'un traitement. Le RGPD exige un accord qui définit leurs obligations respectives.Art. 5, let. j, LPD ; art. 26 RGPDEn savoir plus

Sous-traitant

Aussi appelé : Fournisseur qui traite des données pour vous, processorLa personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement, selon ses instructions : le service cloud, la fiduciaire des salaires, l'agence de la newsletter.Art. 5, let. k, et 9 LPD ; art. 4 point 8 et 28 RGPDEn savoir plus

Sous-traitant ultérieur

Aussi appelé : Sous-fournisseurUn tiers à qui le sous-traitant confie à son tour une partie du traitement. Ce n'est admis qu'avec l'autorisation préalable du responsable du traitement.Art. 9, al. 3, LPD ; art. 28 par. 2 et 4 RGPDEn savoir plus

Traitement

Toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés : collecte, enregistrement, conservation, utilisation, modification, communication, archivage, effacement ou destruction.Art. 5, let. d, LPD ; art. 4 point 2 RGPD

Violation de la sécurité des données

Aussi appelé : Data breachUne violation de la sécurité entraînant, de manière accidentelle ou illicite, la perte, l'effacement, la destruction ou la modification de données personnelles, ou leur divulgation ou un accès non autorisés à ces données.Art. 5, let. h, et 24 LPD ; art. 4 point 12 et 33-34 RGPDEn savoir plus

Définitions résumées à partir du texte de la loi, pas un conseil : pour votre cas, c'est le texte de la loi qui fait foi.