.png&w=3840&q=75&dpl=dpl_Ba6pf7ueYcNioUvDkWkKkJsULeG7)
nLPD: la loi suisse sur les données personnelles.
Loi fédérale sur la protection des données (LPD, RS 235.1)
Direct answer
La nLPD (loi fédérale sur la protection des données, RS 235.1) est la loi suisse sur la protection des données. La loi révisée s’applique depuis le 1er septembre 2023 et couvre les données personnelles des personnes physiques traitées par les entreprises privées et les organes fédéraux, y compris les traitements à l’étranger qui ont un effet en Suisse. Proche du RGPD sans lui être identique, elle demande un registre des traitements, des analyses d’impact pour les traitements à risque élevé et l’annonce des violations au PFPDT dans les meilleurs délais, et elle sanctionne les personnes responsables par des amendes jusqu’à 250 000 francs.
À qui s’applique la nLPD
La nLPD s’applique aux personnes privées et aux entreprises, ainsi qu’aux organes fédéraux, qui traitent des données personnelles concernant des personnes physiques (article 2). Les organes cantonaux et communaux relèvent du droit cantonal de la protection des données.
Depuis la révision, la nLPD ne protège plus que les personnes physiques. Les données concernant les entreprises et autres personnes morales ne sont plus des données personnelles, ce qui rapproche la loi du RGPD.
Sa portée territoriale suit le principe de l’effet (article 3) : la loi s’applique aux états de fait qui déploient des effets en Suisse, même s’ils se sont produits à l’étranger. Une entreprise établie hors de Suisse qui traite régulièrement et à grande échelle des données de personnes en Suisse, pour leur proposer des biens ou des services ou pour observer leur comportement, et dont le traitement présente un risque élevé, doit désigner un représentant en Suisse selon l’article 14.
Article 6 : les principes, sans base légale générale
Les données personnelles doivent être traitées de manière licite, conformément à la bonne foi et de manière proportionnée, pour une finalité reconnaissable par la personne concernée, et être exactes. Elles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires à la finalité.
C’est la principale différence avec le RGPD. Une entreprise privée n’a pas besoin d’une base légale pour chaque activité de traitement. Le traitement est permis tant qu’il respecte ces principes et ne porte pas une atteinte illicite à la personnalité de la personne. Lorsqu’il y porte atteinte, par exemple en traitant des données contre la volonté expresse de la personne, il faut un motif justificatif : le consentement, un intérêt privé ou public prépondérant, ou la loi (articles 30 et 31).
Lorsque le consentement est requis, il doit être libre et éclairé. Il doit être exprès pour le traitement de données sensibles et pour le profilage à risque élevé.
- Les données sensibles comprennent les données sur les opinions religieuses, philosophiques ou politiques, la santé, la sphère intime, l’origine ethnique, les données génétiques et biométriques identifiant une personne, les poursuites pénales et l’aide sociale (article 5).
- La protection des données dès la conception et par défaut (article 7) exige d’organiser le traitement pour respecter les principes, et de limiter par défaut le traitement au minimum nécessaire à la finalité.
Ce que doivent faire les responsables du traitement
Le tableau résume les obligations sur lesquelles la plupart des entreprises travaillent en premier. L’ordonnance sur la protection des données en précise les modalités.
| Obligation | Article | Ce que cela signifie en pratique |
|---|---|---|
| Sécurité des données | Art. 8 ; OPDo art. 1 à 6 | Des mesures techniques et organisationnelles adaptées au risque. L’ordonnance fixe des exigences minimales, et les enfreindre intentionnellement peut être puni d’une amende. |
| Sous-traitants | Art. 9 | Un sous-traitant peut être mandaté par contrat ou par la loi s’il traite les données comme le responsable pourrait le faire. Le responsable s’assure que le sous-traitant peut garantir la sécurité des données. Le recours à un sous-traitant ultérieur exige l’autorisation préalable du responsable. |
| Registre des activités de traitement | Art. 12 ; OPDo art. 24 | Responsables et sous-traitants tiennent un registre de leurs activités de traitement. Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement de données sensibles à grande échelle ou profilage à risque élevé. |
| Devoir d’informer | Art. 19 à 21 | Lors de la collecte, indiquer au moins l’identité du responsable, la finalité, les destinataires et les éventuels pays de destination. Les décisions individuelles automatisées doivent être signalées. |
| Analyse d’impact | Art. 22 et 23 | Lorsqu’un traitement est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux, l’analyser au préalable. Si un risque élevé subsiste malgré les mesures, consulter d’abord le PFPDT. |
| Annonce des violations | Art. 24 | Annoncer au PFPDT dans les meilleurs délais une violation de la sécurité des données entraînant vraisemblablement un risque élevé. Informer les personnes concernées lorsque leur protection l’exige ou que le PFPDT le demande. Le sous-traitant informe le responsable dans les meilleurs délais. |
| Communication à l’étranger | Art. 16 et 17 | Les données peuvent aller vers un pays que le Conseil fédéral reconnaît comme adéquat. À défaut, des garanties appropriées sont nécessaires, comme des clauses contractuelles types, ou une exception doit s’appliquer. |
| Conseiller à la protection des données | Art. 10 | Facultatif pour les responsables privés. En désigner un qui remplit les conditions peut dispenser de consulter le PFPDT après une analyse d’impact. |
Ce que les personnes peuvent vous demander
- Droit d’accès (article 25) : toute personne peut demander si des données la concernant sont traitées et recevoir les informations nécessaires pour faire valoir ses droits, notamment les données elles-mêmes, la finalité, la durée de conservation, les destinataires et la provenance. La réponse est due dans les 30 jours (article 18 OPDo) et est en principe gratuite.
- Remise ou transmission des données (article 28) : une personne peut demander à recevoir les données qu’elle a fournies dans un format électronique courant, ou leur transmission à un autre responsable, à certaines conditions.
- Rectification, effacement et opposition : une personne peut demander la rectification de données inexactes et agir pour faire cesser un traitement ou détruire des données (articles 32 et 41).
- Décisions automatisées (article 21) : une personne visée par une décision fondée exclusivement sur un traitement automatisé, avec des effets juridiques ou une atteinte importante, peut demander à faire valoir son point de vue et à ce qu’une personne physique revoie la décision.
Article 24 : annoncer une violation
Une violation de la sécurité des données est une violation qui entraîne, de manière accidentelle ou illicite, la perte, l’effacement, la destruction ou la modification de données personnelles, ou leur divulgation ou mise à disposition à des personnes non autorisées (article 5).
Le responsable l’annonce au PFPDT dans les meilleurs délais lorsqu’elle entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Il n’y a pas de nombre d’heures fixe, contrairement aux 72 heures du RGPD : les entreprises soumises aux deux lois travaillent en général au délai du RGPD, plus court. L’annonce indique au moins la nature de la violation, ses conséquences et les mesures prises ou envisagées.
Les personnes concernées sont informées lorsque leur protection l’exige ou que le PFPDT le demande. Le responsable documente chaque violation, y compris celles qu’il n’annonce pas. Pour un cas réel, voir la fuite Ricardo et la LPD.
Articles 60 à 66 : des amendes pour les personnes
Les dispositions pénales de la nLPD visent les personnes, pas les entreprises. Les autorités cantonales peuvent infliger aux personnes privées responsables une amende jusqu’à 250 000 francs pour des violations intentionnelles, comme fournir des informations fausses ou incomplètes aux personnes concernées ou au PFPDT, communiquer des données à l’étranger ou recourir à un sous-traitant en violation de la loi, ne pas respecter les exigences minimales de sécurité, violer le devoir de discrétion ou ignorer une décision du PFPDT.
Lorsque l’identification de la personne responsable exigerait une enquête disproportionnée, l’entreprise elle-même peut être condamnée à une amende jusqu’à 50 000 francs (article 64).
Le PFPDT n’inflige pas d’amendes. Il mène des enquêtes et peut ordonner des mesures, comme modifier, suspendre ou cesser un traitement, ou détruire des données (articles 49 et 51).
nLPD et RGPD
Beaucoup d’entreprises relèvent des deux lois : la nLPD pour les personnes en Suisse, le RGPD pour les personnes dans l’UE. Les deux sont proches, et la Commission européenne reconnaît à la Suisse un niveau de protection adéquat, mais les détails diffèrent. Voir le guide RGPD pour le côté européen.
| Sujet | nLPD | RGPD |
|---|---|---|
| Entrée en vigueur | Loi révisée depuis le 1er septembre 2023 | Depuis le 25 mai 2018 |
| Base légale | Pas d’exigence générale pour les entreprises privées ; un motif justificatif est nécessaire en cas d’atteinte illicite à la personnalité | Une base licite pour chaque traitement (article 6) |
| Annonce des violations | Au PFPDT dans les meilleurs délais, en cas de risque élevé probable | À l’autorité de contrôle dans les 72 heures, sauf risque improbable |
| Amendes | Jusqu’à 250 000 francs pour les personnes responsables | Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, pour l’organisation |
| Délai de réponse à une demande d’accès | 30 jours | Un mois, prolongeable de deux mois |
| Registre des traitements | Dispense sous 250 collaborateurs, sauf traitement à risque élevé | Dispense sous 250 employés, sauf traitement à risque, régulier ou portant sur des catégories particulières |
| Délégué à la protection des données | Conseiller facultatif | Obligatoire dans des cas définis |
| Représentant des entreprises étrangères | Article 14 | Article 27 |
Piloter la nLPD dans Acuna GRC
Dans Acuna GRC, un administrateur coche la nLPD sur la page des lois sur la protection des données dans Comply, et le RGPD s’il s’applique aussi. Un seul registre des traitements dans Data Privacy porte alors les deux lois, avec une base légale pour chacune sur chaque activité. La présélection indique quand une analyse d’impact est requise, l’assistant de violation enregistre les activités, actifs et fournisseurs touchés dans un seul dossier, et les demandes d’accès arrivent par votre portail de confidentialité avec leur propre échéance. Le compte à rebours de violation de Data Privacy compte 72 heures, le délai du RGPD : sous la nLPD, votre équipe fixe le délai qu’elle se donne.
Cookie Manager garde la preuve du choix de chaque visiteur en matière de cookies, et les sous-traitants sont les tiers que vous évaluez dans TPRM. Voir le logiciel de conformité nLPD pour son fonctionnement dans votre équipe, avec des experts suisses disponibles comme DPO.
Sources
- Loi fédérale sur la protection des données (LPD), RS 235.1
- Ordonnance sur la protection des données (OPDo), RS 235.11
- Préposé fédéral à la protection des données et à la transparence (PFPDT)
- Règlement (UE) 2016/679 (RGPD)
Ce guide explique la loi en termes généraux et ne constitue pas un conseil juridique.
Comment piloter la nLPD dans Acuna GRC ?
Acuna GRC réunit votre registre des activités de traitement, vos AIPD, les demandes des personnes concernées et les annonces de violation dans un même registre, et évalue les sous-traitants qui traitent des données personnelles pour vous.
EXPLORER
nLPD
Comment Acuna GRC tient un seul registre des traitements pour la nLPD et le RGPD, avec des experts suisses comme DPO.
Ce que doit contenir le registre, qui doit le tenir et la dispense sous 250 collaborateurs.
Consentement préalable, Tout refuser aussi simple que Tout accepter, et ce que demande le droit suisse.
Ce que doit contenir chaque preuve de consentement, et ce qu’un journal ne prouve pas.
Le délai du RGPD auquel travaillent en général les entreprises soumises aux deux lois.
Ce que la LPD exige après une violation, à travers un cas suisse réel.
nLPD: questions fréquentes.
Réponses associées