Nouvelle LPD en vigueur depuis le 1er septembre 2023 : qu'est-ce qui a changé ?

Les principales nouveautés

• seules les données des personnes physiques sont protégées, non plus celles des entreprises ;
• le devoir d'informer vaut pour toute collecte de données, pas seulement pour les données sensibles (art. 19 LPD) ;
• registre des activités de traitement (art. 12 LPD) ;
• analyse d'impact pour les traitements présentant un risque élevé (art. 22 LPD) ;
• annonce des violations de la sécurité des données au PFPDT (art. 24 LPD) ;
• protection des données dès la conception et par défaut (art. 7 LPD) ;
• droit à la remise et à la transmission des données (portabilité, art. 28 LPD) ;
• amendes jusqu'à CHF 250 000, au lieu de la limite générale de CHF 10 000 du Code pénal (art. 60-63 LPD) ;
• représentant en Suisse pour certaines entreprises étrangères (art. 14 LPD).

Pas de période transitoire

La loi s'applique immédiatement. Seules font exception la protection des données dès la conception et l'analyse d'impact, qui ne s'appliquent pas aux traitements commencés avant le 1er septembre 2023 si la finalité ne change pas et qu'aucune nouvelle donnée n'est collectée (art. 69 LPD).

Questions proches

• La nouvelle LPD s'applique-t-elle à ma PME ?
• Quelles sanctions prévoit la nouvelle LPD, et pour qui ?
• nLPD et RGPD : quelles différences, et quand s'appliquent-ils tous les deux ?

Modèles utiles

• Modèle de décision de lancement de la mise en conformité à la nLPD
• Modèle de politique interne de protection des données