Question 1

La nouvelle LPD s'applique-t-elle à ma PME ?

Accepted Answer

Oui. La loi fédérale sur la protection des données (LPD) s'applique à toute personne privée et à toute entreprise qui traite des données personnelles concernant des personnes physiques, quelle que soit sa taille (art. 2 LPD). Elle vaut aussi pour une entreprise à l'étranger lorsque le traitement déploie des effets en Suisse (art. 3 LPD).

Question 2

nLPD et RGPD : quelles différences, et quand s'appliquent-ils tous les deux ?

Accepted Answer

La LPD suisse et le RGPD européen reposent sur les mêmes principes, mais la LPD n'exige pas de base légale pour chaque traitement, ne fixe pas de délai en heures pour annoncer une violation et sanctionne les personnes responsables plutôt que l'entreprise. Une entreprise suisse doit aussi respecter le RGPD lorsqu'elle a un établissement dans l'UE, offre des biens ou des services à des personnes dans l'UE ou suit leur comportement (art. 3 RGPD).

Question 3

Quelles sanctions prévoit la nouvelle LPD, et pour qui ?

Accepted Answer

La LPD prévoit des amendes jusqu'à CHF 250 000 (art. 60-63 LPD). Elles sont payées par la personne physique responsable, non par l'entreprise, et seulement pour des violations intentionnelles ; l'entreprise peut être condamnée à une amende jusqu'à CHF 50 000 lorsque l'identification de la personne responsable exigerait des mesures d'instruction disproportionnées (art. 64 LPD).

Question 4

Faut-il un registre des activités de traitement avec la nouvelle LPD ?

Accepted Answer

Oui, en règle générale. La LPD oblige les responsables du traitement et les sous-traitants à tenir un registre des activités de traitement (art. 12 LPD). Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf si elles traitent des données sensibles à grande échelle ou effectuent un profilage à risque élevé (art. 24 OPDo).

Question 5

Dois-je désigner un conseiller à la protection des données (DPO) ?

Accepted Answer

Avec la LPD non : pour les entreprises privées, le conseiller à la protection des données est facultatif (art. 10 LPD). Avec le RGPD, un délégué à la protection des données est obligatoire lorsque l'activité de base consiste à suivre les personnes de manière régulière et systématique à grande échelle ou à traiter à grande échelle des catégories particulières de données (art. 37 RGPD).

Question 6

Que doit contenir la déclaration de protection des données (politique de confidentialité) ?

Accepted Answer

Lorsqu'elle collecte des données personnelles, l'entreprise doit informer les personnes au moins de : son identité et ses coordonnées, la finalité du traitement, les destinataires ou les catégories de destinataires et, si les données sont communiquées à l'étranger, l'État concerné et les garanties (art. 19 LPD). Si les données ne sont pas collectées auprès de la personne, il faut aussi indiquer les catégories de données traitées.

Question 7

Faut-il une analyse d'impact relative à la protection des données (AIPD) ?

Accepted Answer

Oui, mais seulement lorsqu'un traitement est susceptible d'entraîner un risque élevé pour la personnalité ou les droits fondamentaux des personnes (art. 22 LPD) : par exemple avec de nouvelles technologies, avec des données sensibles à grande échelle ou avec la surveillance systématique de grandes parties du domaine public. Si le risque reste élevé malgré les mesures, il faut consulter le PFPDT (art. 23 LPD).

Question 8

Puis-je utiliser des fournisseurs avec des serveurs aux États-Unis ou dans l'UE ?

Accepted Answer

Oui. Les données peuvent être communiquées à l'étranger si le Conseil fédéral a constaté que l'État garantit un niveau de protection adéquat, comme les États de l'UE et de l'EEE (art. 16, al. 1, LPD). Vers les États-Unis, elles peuvent aller aux entreprises certifiées selon le Swiss-U.S. Data Privacy Framework ; pour les autres, il faut des garanties appropriées, en général les clauses contractuelles types (art. 16, al. 2, LPD).

Question 9

Faut-il un contrat avec les fournisseurs qui traitent des données pour nous ?

Accepted Answer

Oui. Une entreprise peut confier un traitement à un fournisseur (sous-traitant) par contrat, si le sous-traitant ne traite les données que de la manière dont l'entreprise elle-même serait en droit de le faire et en garantit la sécurité (art. 9 LPD). Le sous-traitant ne peut à son tour confier le traitement à un tiers qu'avec l'autorisation préalable de l'entreprise ; avec le RGPD, le contrat doit être écrit et avoir le contenu de l'art. 28 RGPD.

Question 10

Cookies et bannière : faut-il le consentement en Suisse ?

Accepted Answer

En règle générale non. En Suisse, les cookies peuvent être utilisés si le site informe sur le traitement et sa finalité et indique comment le refuser (art. 45c de la loi sur les télécommunications) ; un consentement préalable n'est pas exigé de manière générale. Si le site s'adresse à des personnes dans l'UE, leur consentement est nécessaire avant de déposer des cookies non nécessaires (directive ePrivacy et RGPD).

Question 11

Violation de la sécurité des données : quand et comment l'annoncer au PFPDT ?

Accepted Answer

Une violation de la sécurité des données doit être annoncée au PFPDT dans les meilleurs délais lorsqu'elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées (art. 24 LPD). Les personnes doivent être informées si cela est nécessaire à leur protection ou si le PFPDT l'exige ; avec le RGPD, la notification à l'autorité doit se faire dans les 72 heures (art. 33 RGPD).

Question 12

Comment répondre à une demande d'accès aux données, et dans quel délai ?

Accepted Answer

Toute personne peut demander à une entreprise si des données la concernant sont traitées et en recevoir une copie, avec la finalité, la durée de conservation, les destinataires et les États étrangers (art. 25 LPD). La réponse doit être donnée en règle générale dans les 30 jours et gratuitement (art. 18-19 OPDo) ; avec le RGPD, le délai est d'un mois (art. 12 et 15 RGPD).

Questions sur la nouvelle LPD

Sommes-nous concernés ?

Documents et rôles

Fournisseurs et étranger

Quand quelque chose arrive

Vous ne trouvez pas votre question ?