Check-list de conformité nLPD : que vérifier ?

• Cartographiez vos traitements. Listez les données personnelles traitées, leurs finalités, les personnes concernées, le lieu de stockage et les destinataires.
• Tenez un registre des activités de traitement (article 12). Les entreprises de moins de 250 collaborateurs en sont dispensées, sauf traitement à grande échelle de données sensibles ou profilage à risque élevé (article 24 de l’ordonnance sur la protection des données).
• Informez les personnes concernées (articles 19 à 21). La déclaration de confidentialité indique le responsable, les finalités, les destinataires et les pays étrangers concernés, et les personnes sont informées des décisions individuelles automatisées.
• Évaluez les traitements à risque élevé (article 22). Réalisez une analyse d’impact (AIPD) lorsqu’un traitement est susceptible d’entraîner un risque élevé, et consultez le PFPDT si un risque élevé subsiste (article 23).
• Intégrez la protection des données (article 7). Appliquez la protection des données dès la conception et les paramètres les plus protecteurs par défaut.
• Sécurisez les données (article 8). Prenez des mesures techniques et organisationnelles adaptées au risque, selon l’ordonnance sur la protection des données.
• Encadrez vos sous-traitants (article 9). Le traitement par un sous-traitant exige un contrat ou une base légale, et les sous-traitants ultérieurs votre autorisation préalable.
• Vérifiez les communications à l’étranger (articles 16 et 17). Ne communiquez des données qu’aux pays que le Conseil fédéral reconnaît comme adéquats, ou avec des garanties comme les clauses contractuelles types.
• Traitez les demandes d’accès (article 25). Répondez dans les 30 jours, en principe gratuitement.
• Annoncez les violations (article 24). Informez le PFPDT dès que possible lorsqu’une violation entraînera vraisemblablement un risque élevé, et informez les personnes concernées lorsque leur protection l’exige.
• Désignez un représentant si nécessaire (article 14). Un responsable étranger qui traite à grande échelle et régulièrement des données de personnes en Suisse peut devoir en nommer un.
• Formez le personnel et revoyez le programme régulièrement.

Le PFPDT peut ouvrir une enquête et ordonner des mesures. Des amendes pénales jusqu’à CHF 250 000 visent les personnes responsables, et non l’entreprise, en cas de violation intentionnelle des obligations d’informer, de renseigner, de collaborer, de sécurité des données ou de communication à l’étranger (articles 60 à 66).

Dans Data Privacy d’Acuna GRC, vous sélectionnez la nLPD comme loi applicable, seule ou avec le RGPD, et chaque activité de traitement porte une base légale pour chacune. Le registre s’exporte avec ses flux de données et ses rôles, un questionnaire de neuf questions indique quand une AIPD est requise, les TIA enregistrent la garantie de chaque destinataire étranger, et les contrats de sous-traitance sont générés pour les sous-traitants. Les demandes d’accès suivent un délai de 30 jours, et les violations enregistrent l’heure de l’annonce à l’autorité. Voir la gestion de la protection des données.